Spring Security中OAuth2 Client与Resource Server配置场景辨析

问题描述 #

我在Spring Security配置上存在困惑。正在开发一个Spring Boot应用，项目依赖包含OAuth2 Client和Resource Server相关starter：

dependencies {
    implementation 'org.springframework.boot:spring-boot-starter-web:3.2.3'
    implementation 'org.springframework.boot:spring-boot-starter-security:3.2.3'

    // oauth2 client
    implementation 'org.springframework.boot:spring-boot-starter-oauth2-client:3.2.3'

    // oauth2 resource server
    implementation 'org.springframework.boot:spring-boot-starter-oauth2-resource-server:3.2.3'
    ...
}

当配置为OAuth2 Client时，应用通过以下配置与Keycloak交互：

spring:
  security:
    oauth2:
      client:
        registration:
          spring-app:
            client-id: spring-app
            client-secret: VWsQaq02oUYaWNzb51dKzACrF5QLgTm8
            authorization-grant-type: authorization_code
            scope: openid, profile, roles
            redirect-uri: http://localhost:8080/login/oauth2/code/spring-app
        provider:
          spring-app:
            issuer-uri: http://localhost:8383/realms/foo

当配置为Resource Server时，应用通过以下配置让端点被Keycloak保护：

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          jwk-set-uri: ${spring.security.oauth2.resourceserver.jwt.issuer-uri}/protocol/openid-connect/certs
          issuer-uri: http://localhost:8383/realms/foo

我的困惑是：Spring Boot项目何时应配置为Client，何时配置为Resource Server？并且我的应用既是Keycloak中注册的OAuth2 Client，又是需要保护端点的Resource Server，这种情况下两者是否可以共存？

场景区分与解答 #

1. 配置为OAuth2 Client的场景 #

当你的Spring Boot应用需要代表用户向第三方服务（包括其他Resource Server）发起请求，或者需要**实现用户登录认证（通过OAuth2授权码流等）**时，需要配置为OAuth2 Client：

• 典型场景：
  • 前端页面型应用（如Spring MVC+Thymeleaf），需要引导用户到Keycloak登录，获取用户身份后展示个性化内容
  • 应用需要调用其他受OAuth2保护的API（比如内部微服务接口），此时应用作为Client，需要获取访问令牌来发起请求
  • 实现"第三方登录"流程，让用户通过Keycloak完成身份认证

2. 配置为Resource Server的场景 #

当你的Spring Boot应用本身提供受保护的API/端点，需要验证请求中的OAuth2令牌合法性时，需要配置为Resource Server：

• 典型场景：
  • 后端RESTful API服务，接收前端或其他服务传来的JWT令牌，验证令牌的签名、签发方、权限等，确保只有合法请求能访问接口
  • 微服务架构中的后端服务，依赖OAuth2服务器（如Keycloak）完成身份认证和权限校验，自身不存储用户信息

3. 两者共存的场景 #

你的理解是对的，一个Spring Boot应用完全可以同时作为OAuth2 Client和Resource Server：

• 比如：应用既提供受保护的API（作为Resource Server），同时又需要调用其他受保护的服务（作为Client）；或者应用既有前端页面需要用户登录（Client模式），又有API接口需要令牌验证（Resource Server模式）
• 这种情况下，你可以同时保留两种配置，Spring Security会自动处理不同端点的认证逻辑，也可以通过SecurityFilterChain明确区分不同端点的规则：

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityFilterChain clientFilterChain(HttpSecurity http) throws Exception {
        http
            .securityMatcher("/login/**", "/oauth2/**", "/dashboard/**") // 前端页面相关端点
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .oauth2Login(oauth2 -> oauth2.loginPage("/login")); // 走OAuth2登录流程
        return http.build();
    }

    @Bean
    public SecurityFilterChain resourceServerFilterChain(HttpSecurity http) throws Exception {
        http
            .securityMatcher("/api/**") // API端点
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults())); // 验证JWT令牌
        return http.build();
    }
}

内容的提问来源于stack exchange，提问作者user842225