现有Spring v5+Spring Boot v2环境下能否迁移至Spring Authorization Server？

核心结论 #

你的判断是正确的：Spring Authorization Server无法直接在Spring v5、Spring Boot v2的项目中运行，它必须依赖Spring Framework 6.x及配套的Spring Security 6.x。

具体原因 #

• 硬依赖链限制：Spring Authorization Server 1.x及以上版本基于Spring Security 6.x构建，而Spring Security 6.x强制要求Spring Framework 6.x作为底层依赖，这种依赖关系无法绕过，类路径中必须包含Spring 6.x的核心包。
• 容器规范不兼容：Spring Framework 6.x遵循Servlet 6.0规范，而Tomcat 9仅支持Servlet 4.0，即便强行引入Spring 6.x依赖，也会因容器规范不匹配出现大量兼容性问题。
• 官方文档表述补充：官方文档提到的"Java 17或更高版本"只是最低运行环境要求，但这是建立在完整依赖Spring 6生态的基础上的，仅满足Java版本条件不足以让它在Spring 5项目中正常工作。

替代建议 #

如果暂时不想升级整个项目的Spring生态，可以考虑以下方案：

• 使用Spring Security OAuth模块的社区维护分支，部分分支提供了对Java 17的兼容支持，能在Spring Boot 2环境下继续使用。
• 维持现有废弃模块的运行，直到项目准备好整体升级到Spring Boot 3.x（对应Spring Framework 6.x、Tomcat 10+），再迁移到Spring Authorization Server。

内容的提问来源于stack exchange，提问作者dodo9