Spring Webflux 3.2.1多租户FilterChain自定义JwtConverter配置冲突问题

错误原因 #

Spring Security 3.x版本起，当在OAuth2资源服务器配置中指定authenticationManagerResolver()后，该Resolver会完全接管JWT/不透明令牌的认证逻辑，此时全局jwt()块内的所有配置（包括自定义jwtAuthenticationConverter）都会被直接忽略，框架因此抛出优先级冲突的提示。

解决方案 #

不能在全局jwt()配置块中设置自定义Converter，而是需要为每个租户对应的ReactiveJwtAuthenticationManager单独绑定自定义Converter，再将这些Manager注册到JwtIssuerReactiveAuthenticationManagerResolver中。

具体实现代码 #

1. 定义自定义JWT认证转换器

public class CustomJwtAuthenticationConverter implements JwtAuthenticationConverter {
    @Override
    public Mono<AbstractAuthenticationToken> convert(Jwt jwt) {
        // 自定义转换逻辑：从JWT中提取用户信息、权限、租户标识等
        Collection<GrantedAuthority> authorities = extractAuthoritiesFromJwt(jwt);
        return Mono.just(new JwtAuthenticationToken(jwt, authorities));
    }

    private Collection<GrantedAuthority> extractAuthoritiesFromJwt(Jwt jwt) {
        // 示例：从JWT的"roles"字段提取权限
        List<String> roles = jwt.getClaimAsStringList("roles");
        return roles.stream()
                .map(role -> new SimpleGrantedAuthority("ROLE_" + role))
                .collect(Collectors.toList());
    }
}

2. 构建带自定义Converter的多租户认证管理器Resolver

@Bean
public JwtIssuerReactiveAuthenticationManagerResolver jwtIssuerAuthenticationManagerResolver(
        ReactiveJwtDecoderFactory<ClientRegistration> decoderFactory,
        TenantClientRegistrationRepository tenantRepo) {
    // 动态根据Issuer生成对应的认证管理器
    return new JwtIssuerReactiveAuthenticationManagerResolver(issuer -> {
        // 根据Issuer获取租户对应的ClientRegistration（需自行实现租户配置仓库）
        ClientRegistration clientRegistration = tenantRepo.findByIssuer(issuer);
        // 创建对应租户的JWT解码器
        ReactiveJwtDecoder decoder = decoderFactory.createDecoder(clientRegistration);
        // 创建认证管理器并绑定自定义Converter
        ReactiveJwtAuthenticationManager authManager = new ReactiveJwtAuthenticationManager(decoder);
        authManager.setJwtAuthenticationConverter(new CustomJwtAuthenticationConverter());
        return Mono.just(authManager);
    });
}

3. 配置Security过滤器链

@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http,
        JwtIssuerReactiveAuthenticationManagerResolver authManagerResolver) {
    http
        .authorizeExchange(exchanges -> exchanges
            .anyExchange().authenticated()
        )
        .oauth2ResourceServer(oauth2 -> oauth2
            .authenticationManagerResolver(authManagerResolver)
        );
    return http.build();
}

补充说明 #

• 如果自定义Converter是全局通用的，可复用同一个实例绑定到所有租户的认证管理器；
• 若需按租户定制Converter逻辑，可在生成认证管理器时根据Issuer创建不同的Converter实例。

内容的提问来源于stack exchange，提问作者p.maimba