如何在Spring Authorization Server中从持久化数据库注册OAuth2客户端？

核心思路 #

Spring Authorization Server（Spring Security 6集成的独立项目）提供了JdbcRegisteredClientRepository，这是官方实现的基于JDBC的客户端存储方案，完全替代了Spring Security 5中的ClientRegistrationRepository，支持将客户端信息持久化到数据库，并且可以动态添加客户端无需重启应用。

实现步骤 #

1. 添加依赖 #

确保项目中包含以下核心依赖（以Maven为例）：

<dependencies>
    <!-- Spring Authorization Server -->
    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-oauth2-authorization-server</artifactId>
        <version>1.2.3</version> <!-- 使用最新稳定版 -->
    </dependency>
    <!-- Spring Data JPA -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-data-jpa</artifactId>
    </dependency>
    <!-- 数据库驱动（以MySQL为例） -->
    <dependency>
        <groupId>com.mysql</groupId>
        <artifactId>mysql-connector-j</artifactId>
        <scope>runtime</scope>
    </dependency>
</dependencies>

2. 配置数据库连接 #

在application.properties中配置数据源：

# 数据库连接配置
spring.datasource.url=jdbc:mysql://localhost:3306/auth_server?useSSL=false&serverTimezone=UTC
spring.datasource.username=root
spring.datasource.password=your-db-password

# JPA配置
spring.jpa.hibernate.ddl-auto=update
spring.jpa.show-sql=true
spring.jpa.properties.hibernate.dialect=org.hibernate.dialect.MySQLDialect

3. 注册JdbcRegisteredClientRepository Bean #

创建配置类，注册官方提供的JDBC客户端仓库：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.jdbc.core.JdbcTemplate;
import org.springframework.security.oauth2.server.authorization.client.JdbcRegisteredClientRepository;
import org.springframework.security.oauth2.server.authorization.client.RegisteredClientRepository;

@Configuration
public class AuthorizationServerConfig {

    @Bean
    public RegisteredClientRepository registeredClientRepository(JdbcTemplate jdbcTemplate) {
        // 使用官方JDBC实现，自动关联数据库表
        return new JdbcRegisteredClientRepository(jdbcTemplate);
    }
}

4. 初始化数据库表结构 #

JdbcRegisteredClientRepository依赖特定的数据库表结构：

• 可以直接执行官方提供的schema-mysql.sql（MySQL）或schema-h2.sql（H2）等脚本创建表
• 也可以通过spring.jpa.hibernate.ddl-auto=update让Hibernate自动生成表结构（生产环境建议手动执行脚本保证稳定性）

核心表oauth2_registered_client包含以下关键字段：client_id、client_secret、client_name、redirect_uris、scope、authorization_grant_types等。

5. 实现动态添加客户端的接口 #

编写一个受保护的REST接口，允许管理员动态添加客户端：

import org.springframework.http.HttpStatus;
import org.springframework.http.ResponseEntity;
import org.springframework.security.access.prepost.PreAuthorize;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestBody;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
import org.springframework.security.oauth2.server.authorization.client.RegisteredClient;
import org.springframework.security.oauth2.server.authorization.client.RegisteredClientRepository;

@RestController
@RequestMapping("/admin/clients")
public class ClientAdminController {

    private final RegisteredClientRepository registeredClientRepository;

    public ClientAdminController(RegisteredClientRepository registeredClientRepository) {
        this.registeredClientRepository = registeredClientRepository;
    }

    @PostMapping
    @PreAuthorize("hasRole('ADMIN')")
    public ResponseEntity<Void> createClient(@RequestBody RegisteredClient client) {
        // 保存新客户端到数据库，立即生效无需重启
        registeredClientRepository.save(client);
        return ResponseEntity.status(HttpStatus.CREATED).build();
    }
}

6. 保护管理接口 #

配置Spring Security，确保只有管理员能访问客户端管理接口：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

import static org.springframework.security.config.Customizer.withDefaults;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    // 客户端管理接口的安全过滤链
    @Bean
    public SecurityFilterChain adminSecurityFilterChain(HttpSecurity http) throws Exception {
        http
            .securityMatcher("/admin/clients/**")
            .authorizeHttpRequests(auth -> auth.anyRequest().hasRole("ADMIN"))
            .formLogin(withDefaults()); // 可替换为OIDC认证等方式
        return http.build();
    }

    // 授权服务器的核心安全配置（保留原有配置）
    @Bean
    public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
        // 原有授权服务器配置，比如配置OAuth2端点等
        return http.build();
    }
}

验证动态生效 #

添加客户端后，直接使用新的client_id和client_secret发起授权请求（如授权码模式），无需重启应用即可正常获取令牌，说明配置已动态生效。

内容的提问来源于stack exchange，提问作者Tom Benjamin