如何配置Spring OAuth2授权服务器，使管理端点仅通过Bearer Token独立认证？

核心思路是精准划分不同端点的过滤器链职责：授权相关端点保留会话以支持授权码流程，管理后台端点强制使用无状态的Bearer Token认证，避免会话Cookie绕过授权流程。

1. 调整过滤器链优先级与匹配规则 #

Spring Security会按过滤器链的Order顺序匹配路径，需让管理后台的资源服务器链优先匹配/admin/**路径，授权服务器链仅覆盖授权流程必需的端点，避免两者逻辑冲突。

配置示例 #

1.1 管理后台资源服务器链（优先匹配）

@Bean
@Order(2)
public SecurityFilterChain adminResourceServerFilterChain(HttpSecurity http) throws Exception {
    http
        // 仅匹配/admin开头的端点
        .securityMatcher("/admin/**")
        // 配置权限规则，根据实际需求调整权限范围
        .authorizeHttpRequests(auth -> auth.anyRequest().hasAuthority("SCOPE_admin"))
        // 强制无状态，不创建或使用会话
        .sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
        // 启用JWT资源服务器认证，仅接受Bearer Token
        .oauth2ResourceServer(oauth2 -> oauth2.jwt(jwt -> jwt
            .jwtAuthenticationConverter(jwtAuthenticationConverter())
        ))
        // 禁用CSRF（前后端分离场景下无需CSRF保护）
        .csrf(csrf -> csrf.disable())
        // 禁用会话相关的logout逻辑
        .logout(logout -> logout.disable());
    
    return http.build();
}

// 自定义JWT转换器，从Token中提取权限信息（示例）
private JwtAuthenticationConverter jwtAuthenticationConverter() {
    JwtGrantedAuthoritiesConverter grantedAuthoritiesConverter = new JwtGrantedAuthoritiesConverter();
    grantedAuthoritiesConverter.setAuthorityPrefix("SCOPE_");
    
    JwtAuthenticationConverter converter = new JwtAuthenticationConverter();
    converter.setJwtGrantedAuthoritiesConverter(grantedAuthoritiesConverter);
    return converter;
}

1.2 授权服务器链（仅处理授权流程端点）

@Bean
@Order(3)
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
    // 应用授权服务器默认安全配置
    OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);
    
    http
        // 保留登录页面，支持授权码流程的用户登录
        .formLogin(form -> form.loginPage("/login"))
        // 授权流程需要会话保存state和用户认证状态，使用IF_REQUIRED按需创建会话
        .sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED))
        // 仅匹配授权流程必需的端点，避免覆盖/admin路径
        .securityMatcher("/oauth2/authorize", "/oauth2/token", "/oauth2/jwks", "/login", "/logout");
    
    return http.build();
}

1.3 默认过滤器链（处理其他非核心端点）

@Bean
@Order(4)
public SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth.anyRequest().permitAll());
    
    return http.build();
}

2. 关键逻辑说明 #

• 会话隔离：授权服务器链仅在授权流程端点使用会话，管理后台端点完全不依赖会话，彻底避免Cookie绕过Bearer Token认证的问题。
• 授权码流程兼容性：授权服务器保留会话是因为OAuth2授权码流程需要存储state参数和用户登录状态，否则登录后无法恢复原授权请求，导致跳转异常（这就是你之前设置STATELESS后重定向到/的原因）。
• 权限控制：通过JWT转换器提取Token中的权限，确保只有携带有效admin scope的Token才能访问管理后台。

3. 验证步骤 #

1. 直接访问/admin/users，应返回401 Unauthorized（无Bearer Token）。
2. 通过授权码流程获取Token：访问授权端点/oauth2/authorize?response_type=code&client_id=你的客户端ID&redirect_uri=你的回调地址&scope=admin，登录后获取授权码，再兑换JWT Token。
3. 携带Authorization: Bearer <你的Token>头访问/admin/users，应正常返回数据。
4. 清除浏览器JSESSIONID Cookie后，仅用Cookie访问/admin/users，仍返回401，验证会话被彻底隔离。

内容的提问来源于stack exchange，提问作者J. M. Arnold