Spring Authorization Server是否支持response_type=token？

Spring Authorization Server 默认不支持 response_type=token（对应OAuth 2.0的Implicit授权类型），原因如下：

• 它基于OAuth 2.1规范实现，而OAuth 2.1已正式废弃Implicit授权——该模式下访问令牌会直接暴露在浏览器地址栏，存在被第三方窃取、拦截的安全风险。
• 官方主推Authorization Code Flow（即你正在使用的response_type=code模式），尤其是结合PKCE（Proof Key for Code Exchange）的版本，安全性远高于Implicit授权。

若确实需要支持Implicit授权（不推荐） #

如果因业务需求必须启用response_type=token，可通过自定义配置开启：

1. 客户端配置中添加Implicit授权类型：

@Bean
public RegisteredClientRepository registeredClientRepository() {
    RegisteredClient registeredClient = RegisteredClient.withId(UUID.randomUUID().toString())
        .clientId("your-client-id")
        .clientSecret("{noop}your-client-secret")
        .clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT_SECRET_BASIC)
        .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
        .authorizationGrantType(AuthorizationGrantType.IMPLICIT) // 开启Implicit授权
        .redirectUri("https://your-app.com/callback")
        .scope("openid")
        .scope("profile")
        .build();
    return new InMemoryRegisteredClientRepository(registeredClient);
}

2. 自定义授权请求转换器，映射token响应类型：

@Bean
public OAuth2AuthorizationRequestConverter authorizationRequestConverter() {
    DefaultOAuth2AuthorizationRequestConverter converter = new DefaultOAuth2AuthorizationRequestConverter();
    converter.addResponseTypeMapping(OAuth2ResponseType.TOKEN, AuthorizationGrantType.IMPLICIT);
    return converter;
}

关于WSO2 IS的差异 #

WSO2 IS兼容OAuth 2.0旧规范，因此保留了Implicit授权的支持，但官方同样建议优先使用更安全的Authorization Code Flow。

内容的提问来源于stack exchange，提问作者Aakanksha