基于用户角色控制Spring Authorization Server权限范围的实践疑问

• 该方案完全可行。单页应用（SPA）作为单一OAuth2客户端的设计合理，客户端代表应用本身，权限范围是用户身份的属性，二者无需强绑定，通过用户角色区分权限范围是标准的权限控制思路。
• 不需要为员工和管理员设置独立客户端。除非你需要为不同角色配置差异化的客户端参数（比如不同重定向URI、令牌有效期、授权方式），否则独立客户端只会增加维护成本，无额外收益。
• 更优实现建议：可将角色与权限范围的映射关系固化到认证环节，比如在用户认证时直接加载其允许的权限范围，减少令牌生成阶段的数据库查询开销；或者通过Spring Security的GrantedAuthority直接关联权限范围，简化角色到scope的转换逻辑。

你当前的代码仅修改了JWT令牌中的scope声明，但授权服务器返回的HTTP响应体里的scope字段，是从OAuth2TokenCustomizer上下文的authorizedScopes集合中读取的，因此需要同步更新这个集合：

修改你的jwtCustomizer代码，添加对context.setAuthorizedScopes()的调用：

@Bean
public OAuth2TokenCustomizer<JwtEncodingContext> jwtCustomizer(ScopeService scopeService, RoleService roleService) {
    return context -> {
        Set<String> requestedScopes = context.getAuthorizedScopes();
        Collection<? extends GrantedAuthority> authorities = context.getPrincipal().getAuthorities();

        Collection<Role> roles = roleService.mapAuthoritiesToRoles(authorities);
        Set<String> allowedScopes = scopeService.getAllAllowedScopes(roles)
                .stream()
                .map(Scope::getName)
                .collect(Collectors.toSet());

        Set<String> grantedScopes = requestedScopes.stream()
                .filter(requestedScope -> allowedScopes.contains(requestedScope))
                .collect(Collectors.toSet());

        // 同步更新上下文的授权范围，确保响应体返回正确的scope
        context.setAuthorizedScopes(grantedScopes);

        if (context.getTokenType().equals(OAuth2TokenType.ACCESS_TOKEN)) {
            context.getClaims().claims(c -> {
                c.put("scope", grantedScopes);
            });
        }
    };
}

规范流程补充 #

如果希望在授权决策阶段就完成scope过滤（更符合OAuth2流程逻辑），可以自定义OAuth2AuthorizationManager，在用户授权环节直接过滤无权限的scope，后续令牌生成和响应返回会自动使用过滤后的范围：

@Bean
public OAuth2AuthorizationManager<OAuth2AuthorizationContext> authorizationManager(
        ClientRegistrationRepository clientRegistrationRepository,
        ScopeService scopeService,
        RoleService roleService) {
    DefaultOAuth2AuthorizationManager authorizationManager = new DefaultOAuth2AuthorizationManager(clientRegistrationRepository);
    
    authorizationManager.setAuthorizationValidator(context -> {
        OAuth2Authorization authorization = context.getAuthorization();
        Authentication principal = context.getPrincipal();
        
        Collection<Role> roles = roleService.mapAuthoritiesToRoles(principal.getAuthorities());
        Set<String> allowedScopes = scopeService.getAllAllowedScopes(roles)
                .stream()
                .map(Scope::getName)
                .collect(Collectors.toSet());
        
        Set<String> requestedScopes = authorization.getAuthorizedScopes();
        Set<String> grantedScopes = requestedScopes.stream()
                .filter(allowedScopes::contains)
                .collect(Collectors.toSet());
        
        // 更新授权对象的scope
        authorization = OAuth2Authorization.from(authorization)
                .authorizedScopes(grantedScopes)
                .build();
        context.setAuthorization(authorization);
        
        return OAuth2AuthorizationValidResult.success();
    });
    
    return authorizationManager;
}

内容的提问来源于stack exchange，提问作者Axo