Spring Security OAuth2 Authorization Server如何使用client_secret_jwt？基于OAuth 2.1、Spring Boot 2.7.0与Spring Security OAuth2 Authorization Server 0.3.0的技术问询

刚巧我之前在Spring Boot 2.7.0 + spring-security-oauth2-authorization-server 0.3.0的环境下，基于OAuth 2.1规范配置过client_secret_jwt，给你梳理一下具体的实现逻辑和步骤：

一、spring-security-oauth2-authorization-server中client_secret_jwt的基本逻辑 #

client_secret_jwt是OAuth2里的一种客户端认证方式，核心思路是客户端用自身的client_secret对JWT进行签名，然后把这个签名后的JWT作为凭证，向授权服务器请求令牌。授权服务器会验证这个JWT的签名（用存储的client_secret）、有效期、受众等信息，验证通过后才会发放令牌。

和其他客户端认证方式（比如client_secret_basic）比，它的优势在于JWT可以携带额外信息，而且传输过程中不需要直接暴露client_secret，安全性更高。

二、结合指定版本栈的具体配置步骤 #

1. 先搞定依赖配置 #

首先在你的项目里引入对应版本的依赖，以Maven为例：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
    <version>2.7.0</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-oauth2-authorization-server</artifactId>
    <version>0.3.0</version>
</dependency>

Gradle用户对应调整配置即可，注意版本严格匹配，避免依赖冲突。

2. 注册客户端并指定认证方式 #

接下来要在授权服务器里注册客户端，明确指定客户端的认证方式为client_secret_jwt，同时配置好客户端密钥、授权类型等信息。这里用内存存储客户端信息做演示（生产环境建议用数据库存储）：

@Configuration
public class AuthorizationServerConfig {

    @Bean
    public RegisteredClientRepository registeredClientRepository() {
        RegisteredClient demoClient = RegisteredClient.withId(UUID.randomUUID().toString())
                .clientId("demo-client")
                // 生产环境请用PasswordEncoder加密，比如BCryptPasswordEncoder.encode("demo-secret")
                .clientSecret("{noop}demo-secret")
                // 指定认证方式为client_secret_jwt
                .clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT_SECRET_JWT)
                // 这里用客户端凭证模式做示例，也可以配置授权码模式等
                .authorizationGrantType(AuthorizationGrantType.CLIENT_CREDENTIALS)
                .scope("demo-scope")
                .tokenSettings(tokenSettings())
                .build();

        return new InMemoryRegisteredClientRepository(demoClient);
    }

    @Bean
    public TokenSettings tokenSettings() {
        return TokenSettings.builder()
                // 设置令牌为自包含的JWT格式
                .accessTokenFormat(OAuth2TokenFormat.SELF_CONTAINED)
                .build();
    }

    @Bean
    public AuthorizationServerSettings authorizationServerSettings() {
        return AuthorizationServerSettings.builder()
                // 授权服务器的issuer地址，要和客户端JWT里的aud对应
                .issuer("http://localhost:8080")
                .build();
    }
}

3. 客户端侧生成JWT并请求令牌 #

客户端需要生成符合要求的JWT，然后携带它向授权服务器的/oauth2/token端点请求令牌。这里用JJWT库来生成JWT，先引入JJWT依赖：

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

然后生成JWT的代码：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.util.Date;

public class ClientJwtGenerator {
    public static void main(String[] args) {
        String clientId = "demo-client";
        String clientSecret = "demo-secret";
        String tokenEndpoint = "http://localhost:8080/oauth2/token";

        // 生成符合要求的JWT
        String clientAssertion = Jwts.builder()
                // iss必须是客户端ID
                .setIssuer(clientId)
                // aud必须是授权服务器的token端点或者issuer地址
                .setAudience(tokenEndpoint)
                // 签发时间
                .setIssuedAt(new Date())
                // 过期时间，建议设置短一点，比如1小时
                .setExpiration(new Date(System.currentTimeMillis() + 3600000))
                // 用client_secret以HS256算法签名
                .signWith(SignatureAlgorithm.HS256, clientSecret.getBytes())
                .compact();

        // 发送POST请求到tokenEndpoint，参数如下：
        // grant_type: client_credentials
        // client_assertion_type: urn:ietf:params:oauth:client-assertion-type:jwt-bearer
        // client_assertion: 上面生成的clientAssertion
        // 可以用RestTemplate或者OkHttp等工具发送请求
    }
}

发送请求后，授权服务器会验证JWT的有效性，验证通过就会返回访问令牌。

4. 生产环境注意事项 #

• 客户端密钥必须加密存储：绝对不能像示例里那样用{noop}明文存储，要使用BCryptPasswordEncoder等加密工具对密钥加密后再存入数据库。
• JWT参数要严格匹配：iss必须是客户端ID，aud必须是授权服务器的token端点或者issuer地址，否则授权服务器会拒绝认证。
• 签名算法要一致：客户端生成JWT用的签名算法要和授权服务器预期的一致，示例里用的HS256，如果你用RS256的话，需要配置公钥私钥对，流程会更复杂一些。

内容的提问来源于stack exchange，提问作者徐晓伟