Spring Boot OAuth客户端密钥{bcrypt}配置故障排查

核心结论 #

你的客户端配置client-secret: blub是完全正确的——客户端始终需要配置明文的原始密钥，因为它会在认证流程中把明文密钥发送给认证服务器做校验。问题出在认证服务器的密码配置和编码器的搭配上。

认证服务器端的两种正确配置方式 #

方式1：使用默认的DelegatingPasswordEncoder（推荐）

这是Spring Security默认的密码处理方式，支持通过前缀指定编码器，无需自定义Bean：

security:
  oauth2:
    authorizationserver:
      client:
        ht-webapp-client:
          registration:
            client-id: "ht-webapp-client"
            # 格式：{编码器ID} + 对应编码器生成的哈希值，无空格
            client-secret: "{bcrypt}$2a$10$OIxoSDHnc.Z8VAyTj0O2yObspW5d.WALrA/yg022oyVWN9Sw/1b1u"

• 原理：Spring会自动识别{bcrypt}前缀，使用BCryptPasswordEncoder处理后面的哈希值，匹配时会自动去掉前缀，只拿纯BCrypt哈希串做校验。

方式2：自定义使用BCryptPasswordEncoder

如果你明确要只用BCrypt加密，自定义了PasswordEncoder Bean：

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

那么认证服务器的配置要去掉{bcrypt}前缀，直接写纯BCrypt哈希值：

security:
  oauth2:
    authorizationserver:
      client:
        ht-webapp-client:
          registration:
            client-id: "ht-webapp-client"
            # 直接写BCrypt生成的哈希值，不带前缀
            client-secret: "$2a$10$OIxoSDHnc.Z8VAyTj0O2yObspW5d.WALrA/yg022oyVWN9Sw/1b1u"

• 原理：此时认证服务器会直接用你定义的BCryptPasswordEncoder校验，该编码器只识别纯BCrypt格式的哈希串（以$2a$/$2b$/$2y$开头），带{bcrypt}前缀的字符串会被判定为不符合格式，触发你看到的Encoded password does not look like BCrypt警告。

你之前的问题根源 #

你调试时发现encodedPassword是带{bcrypt}前缀的完整字符串，同时BCryptPasswordEncoder的匹配正则不通过，说明你的认证服务器实际是在用BCryptPasswordEncoder直接处理带前缀的密码字符串，而不是通过默认的DelegatingPasswordEncoder解析前缀后再处理。

要么是你自定义了BCryptPasswordEncoder但配置里没去掉前缀，要么是配置格式有误（比如前缀和哈希之间加了空格，不过你的配置里没加）。

客户端配置确认 #

再次强调：客户端的client-secret必须配置原始明文密钥（比如你这里的blub），不能写哈希值——客户端在OAuth2流程中会把明文密钥发送给认证服务器，由认证服务器用对应的编码器做哈希匹配，这是正确的流程。

内容的提问来源于stack exchange，提问作者Erando