Spring Boot 3.2.8升级至3.4.0后JWT解码报错：无法获取X509Certificate

核心原因 #

Spring Boot 3.3+/Spring Security 6.2+ 对OAuth2资源服务器的JWT验证逻辑做了调整，默认会优先尝试从请求中获取X509证书进行验证，而你的场景依赖JWKS公钥验证，导致逻辑不匹配触发报错。

具体修复步骤 #

1. 显式配置JWT解码器，指定使用JWKS验证 #

在SecurityConfig中手动定义JwtDecoder Bean，强制使用JWKS URI获取公钥，绕过默认的X509证书验证逻辑：

import org.springframework.security.oauth2.jwt.JwtDecoder;
import org.springframework.security.oauth2.jwt.NimbusJwtDecoder;
import com.nimbusds.jose.proc.DefaultJOSEObjectTypeVerifier;
import com.nimbusds.jose.JOSEObjectType;

@Bean
public JwtDecoder jwtDecoder() {
    String jwkSetUri = "你的JWKS地址"; // 替换为实际的jwks.json URI
    return NimbusJwtDecoder.withJwkSetUri(jwkSetUri)
            .jwtProcessorCustomizer(processor -> {
                processor.setJWSTypeVerifier(new DefaultJOSEObjectTypeVerifier<>(JOSEObjectType.JWT));
            })
            .build();
}

2. 清理application.yml中不必要的X509配置 #

检查配置文件，若你的场景不需要X509证书验证，直接移除spring.security.oauth2.resourceserver.jwt.x509相关配置，确保核心JWKS配置正确：

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          jwk-set-uri: https://你的认证服务器地址/.well-known/jwks.json

3. 验证JWKS结构兼容性 #

确认jwks.json符合标准结构：

• 若包含x5c字段（X509证书链），需确保证书内容有效且完整；
• 若仅使用RSA公钥（kty: RSA，包含n和e字段），上述自定义解码器会自动适配加载这些公钥。

4. 调整SecurityFilterChain配置 #

在Security配置中明确指定使用自定义的JWKS解码器，确保验证逻辑统一：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
        .oauth2ResourceServer(oauth2 -> oauth2
            .jwt(jwt -> jwt.decoder(jwtDecoder()))
        );
    return http.build();
}

内容的提问来源于stack exchange，提问作者Sergey Tsypanov