SpringBoot Security OAuth2：如何实现第三方客户端/机器API身份认证？

针对你现有Spring Boot + React的OAuth2认证体系（基于JSESSIONID），要支持Node.js应用通过GET/POST调用API，推荐采用OAuth2 Client Credentials模式（适合服务端/后台运行的Node.js应用），同时保留原有React应用的Session认证方式。以下是具体配置步骤：

1. 添加Spring Authorization Server依赖 #

要支持Client Credentials模式，需引入授权服务器依赖（若未添加）：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-oauth2-authorization-server</artifactId>
    <version>1.2.3</version> <!-- 使用最新稳定版本 -->
</dependency>

2. 配置客户端与授权服务器参数 #

在application.yml中添加Node.js应用的客户端信息，以及JWT签名配置：

spring:
  security:
    oauth2:
      authorizationserver:
        client:
          nodejs-client:
            registration:
              client-id: nodejs-app
              client-secret: {bcrypt}$2a$10$... # 生产环境用BCrypt加密后的密钥，测试可临时用{noop}nodejs-secret
              client-authentication-methods:
                - client_secret_basic
              authorization-grant-types:
                - client_credentials
              scopes:
                - read
                - write
        jwt:
          signing-key: your-strong-signing-key # 生产环境推荐用RSA非对称密钥，测试用对称密钥即可

3. 更新SecurityFilterChain，兼容两种认证方式 #

修改现有配置，让API同时支持React的Session认证和Node.js的JWT认证：

@Bean
SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
            .csrf(AbstractHttpConfigurer::disable)
            .cors(cors -> cors.configurationSource(corsConfigurationSource()))
            .authorizeHttpRequests(auth -> auth
                    .anyRequest().authenticated()
            )
            // 保留React应用的OAuth2登录流程（基于Session）
            .oauth2Login(oauth2 -> oauth2.successHandler(oAuth2LoginSuccessHandler))
            // 启用JWT资源服务器，处理Node.js的Bearer Token
            .oauth2ResourceServer(oauth2ResourceServer -> oauth2ResourceServer
                    .jwt(jwt -> jwt.jwtAuthenticationConverter(jwtAuthenticationConverter()))
            )
            // 根据请求类型自动创建Session（React用Session，Node.js无需Session）
            .sessionManagement(session -> session
                    .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
            )
            .build();
}

// 可选：自定义JWT权限转换器，将客户端scope转为Spring Security权限
@Bean
JwtAuthenticationConverter jwtAuthenticationConverter() {
    JwtGrantedAuthoritiesConverter grantedAuthoritiesConverter = new JwtGrantedAuthoritiesConverter();
    grantedAuthoritiesConverter.setAuthorityPrefix("SCOPE_");
    grantedAuthoritiesConverter.setAuthoritiesClaimName("scope");

    JwtAuthenticationConverter converter = new JwtAuthenticationConverter();
    converter.setJwtGrantedAuthoritiesConverter(grantedAuthoritiesConverter);
    return converter;
}

4. Node.js应用侧实现认证逻辑 #

Node.js应用需先向Spring授权服务器获取Token，再携带Token调用API：

const axios = require('axios');

// 获取Client Credentials模式的访问Token
async function getAccessToken() {
    const tokenResponse = await axios.post(
        'http://your-spring-boot-domain/oauth2/token',
        new URLSearchParams({
            grant_type: 'client_credentials',
            scope: 'read write'
        }),
        {
            auth: {
                username: 'nodejs-app', // 对应配置中的client-id
                password: 'nodejs-secret' // 对应配置中的client-secret
            }
        }
    );
    return tokenResponse.data.access_token;
}

// 调用受保护的API
async function callProtectedApi() {
    const accessToken = await getAccessToken();
    const apiResponse = await axios.get('http://your-spring-boot-domain/api/your-resource', {
        headers: {
            'Authorization': `Bearer ${accessToken}`
        }
    });
    console.log('API响应:', apiResponse.data);
}

callProtectedApi();

5. 权限细化（可选） #

如果需要区分React用户和Node.js客户端的权限，可以在authorizeHttpRequests中添加规则：

.authorizeHttpRequests(auth -> auth
        .requestMatchers("/api/admin/**").hasRole("ADMIN")
        .requestMatchers("/api/public/**").permitAll()
        // React用户拥有ROLE_USER，Node.js客户端拥有SCOPE_read/SCOPE_write
        .requestMatchers("/api/user/**").hasAnyRole("USER")
        .requestMatchers("/api/service/**").hasAnyAuthority("SCOPE_read", "SCOPE_write")
        .anyRequest().authenticated()
)

关键注意事项 #

• 生产环境必须用BCrypt加密客户端密钥，禁止使用{noop}明文存储。
• JWT签名密钥推荐使用RSA非对称密钥，避免对称密钥泄露风险。
• 确保CORS配置允许Node.js应用的域名，避免跨域请求被拦截。
• 若Node.js是前端浏览器应用，不可用Client Credentials模式（密钥会暴露），需改用Authorization Code + PKCE模式，配置流程与React应用一致。

内容的提问来源于stack exchange，提问作者wrth1337