基于Okta的Spring Security OAuth2响应式项目登录后无效凭证问题

1. 修复JWT验证配置（解决“无效凭证”问题） #

Okta返回的JWT令牌中aud（受众）字段需要与Spring配置中的okta.oauth2.audience严格匹配，且默认的JwtDecoder不会自动验证该字段，需显式配置验证逻辑：

@Configuration
@EnableWebFluxSecurity
public class OktaOAuth2WebSecurity {

    @Value("${okta.oauth2.issuer}")
    private String issuer;

    @Value("${okta.oauth2.audience}")
    private String audience;

    @Bean
    public JwtDecoder jwtDecoder() {
        NimbusJwtDecoder jwtDecoder = (NimbusJwtDecoder) JwtDecoders.fromOidcIssuerLocation(issuer);
        // 自定义受众验证器
        OAuth2TokenValidator<Jwt> audienceValidator = jwt -> {
            if (jwt.getAudience().contains(audience)) {
                return OAuth2TokenValidatorResult.success();
            }
            return OAuth2TokenValidatorResult.failure(new OAuth2Error(OAuth2ErrorCodes.INVALID_TOKEN, "Invalid audience", null));
        };
        // 组合 issuer 和 audience 验证逻辑
        OAuth2TokenValidator<Jwt> validators = new DelegatingOAuth2TokenValidator<>(
                JwtValidators.createDefaultWithIssuer(issuer),
                audienceValidator
        );
        jwtDecoder.setJwtValidator(validators);
        return jwtDecoder;
    }

    @Bean
    public SecurityWebFilterChain securityFilterChain(ServerHttpSecurity http) {
        http
                .authorizeExchange()
                .anyExchange().authenticated()
                .and()
                .oauth2Login()
                .authenticationSuccessHandler(authenticationSuccessHandler()) // 自定义登录成功处理器
                .and()
                .oauth2ResourceServer()
                .jwt(jwt -> jwt.decoder(jwtDecoder())); // 指定自定义JwtDecoder
        return http.build();
    }

    // 自定义处理器，返回JSON格式的令牌与用户信息
    private ServerAuthenticationSuccessHandler authenticationSuccessHandler() {
        return (exchange, authentication) -> {
            OAuth2AuthenticationToken oauthToken = (OAuth2AuthenticationToken) authentication;
            OAuth2AuthorizedClient authorizedClient = oauthToken.getAuthorizedClient();
            
            // 提取令牌数据
            String accessToken = authorizedClient.getAccessToken().getTokenValue();
            String refreshToken = authorizedClient.getRefreshToken() != null ? authorizedClient.getRefreshToken().getTokenValue() : null;
            // 提取用户信息
            Map<String, Object> userInfo = oauthToken.getPrincipal().getAttributes();

            // 构建响应JSON
            Map<String, Object> responseData = new HashMap<>();
            responseData.put("access_token", accessToken);
            responseData.put("refresh_token", refreshToken);
            responseData.put("user_info", userInfo);

            // 返回JSON响应
            ServerHttpResponse response = exchange.getExchange().getResponse();
            response.getHeaders().setContentType(MediaType.APPLICATION_JSON);
            byte[] jsonBytes = new ObjectMapper().writeValueAsBytes(responseData);
            DataBuffer buffer = response.bufferFactory().wrap(jsonBytes);
            response.writeWith(Mono.just(buffer));
        };
    }
}

2. 验证Okta应用配置 #

• 确认Okta应用的**受众(Audience)**设置为api://default，与配置文件中的okta.oauth2.audience完全一致。
• 确认应用的授权类型已勾选Authorization Code和Refresh Token（对应配置中的offline_access scope）。
• 检查Okta应用的登录重定向URI是否包含Spring项目的回调地址（默认是/login/oauth2/code/okta，需在Okta门户配置）。

3. 配置文件细节检查 #

确保okta.oauth2.issuer格式正确，末尾无多余斜杠，示例格式：https://dev-71346557.okta.com/oauth2/default。

关键说明 #

• 同时启用oauth2Login和oauth2ResourceServer时，必须保证JWT验证逻辑完整，否则会触发“无效凭证”错误。
• 自定义ServerAuthenticationSuccessHandler后，登录成功将不再执行默认页面跳转，直接返回包含令牌和用户信息的JSON响应，适配响应式项目需求。

内容的提问来源于stack exchange，提问作者Elvin dwi hendrawan