Spring Security OAuth2仅用access_token认证及令牌刷新技术问询
2026-7-8
Spring Security OAuth2 问题解答
1. 能否仅通过校验access_token完成认证，不使用JSESSION或JWT？
完全可以实现这种无状态、基于数据库校验token的模式：
- 核心是在授权服务和资源服务中都配置
JdbcTokenStore，将access_token、refresh_token及关联的用户、权限信息持久化到MySQL。 - 资源服务端设置会话策略为
SessionCreationPolicy.STATELESS，彻底禁用JSESSIONID的生成和使用。 - 后续请求流程：客户端在请求头（如
Authorization: Bearer {access_token}）携带token，资源服务直接通过JdbcTokenStore从MySQL中查询该token的记录，校验其是否存在、是否过期、权限是否匹配，全程不需要JWT的签名验证或会话支持。
2. 用refresh_token获取新access_token并更新JDBC的代码位置
这个逻辑的核心处理点在授权服务的以下组件中：
- 触发入口：客户端调用
POST /oauth/token接口，传入grant_type=refresh_token参数时，请求会被TokenEndpoint接收，由RefreshTokenGranter处理刷新逻辑。 - 核心逻辑：
RefreshTokenGranter会先通过JdbcTokenStore校验refresh_token的有效性，验证通过后生成新的access_token（可选生成新的refresh_token），随后标记旧token为过期/删除旧记录，再将新token写入MySQL。 - 自定义扩展：如果需要调整刷新逻辑，比如自定义token生成规则或存储行为，可以继承
RefreshTokenGranter重写grant方法，或者自定义TokenServices实现类（比如基于DefaultTokenServices），在其中修改token刷新后的存储逻辑，最终还是通过JdbcTokenStore完成数据库的更新操作。
内容的提问来源于stack exchange，提问作者kokojustin
相关产品推荐
相关产品推荐
