Spring Authorization Server密码重置：客户端凭证及流程合规问题

1. 如何在密码重置视图中获取客户端凭证？ #

• 当用户通过授权端点（/oauth2/authorize）跳转至登录页时，Spring Security会将包含client_id的OAuth2AuthorizationRequest对象存储在HttpSession中，属性键为OAuth2AuthorizationRequestRedirectFilter.AUTHORIZATION_REQUEST_ATTR_NAME。
• 在登录页的控制器方法中，从session取出该授权请求对象，提取clientId并传入视图模型：

  @GetMapping("/login")
  public String login(HttpSession session, Model model) {
      OAuth2AuthorizationRequest authRequest = (OAuth2AuthorizationRequest) session.getAttribute(
          OAuth2AuthorizationRequestRedirectFilter.AUTHORIZATION_REQUEST_ATTR_NAME
      );
      if (authRequest != null) {
          model.addAttribute("clientId", authRequest.getClientId());
      }
      return "login";
  }
  

• 在密码重置的入口控制器中，接收client_id参数，通过RegisteredClientRepository查询验证客户端合法性，之后将客户端信息传入重置视图即可。

2. 是否需要自行实现OAuth2授权端点？ #

• 不需要。Spring Authorization Server已提供标准的/oauth2/authorize授权端点，只需基于现有扩展点适配密码重置流程：
  • 利用Spring Security的认证上下文（session中存储的授权请求信息）传递客户端参数，无需重新实现整个授权逻辑；
  • 通过自定义登录控制器、校验客户端合法性等方式，保持与原有授权流程的集成。

3. 如何在登录页面的重置密码链接中添加客户端信息？ #

• 基于登录页模型中的clientId变量，在HTML模板中拼接重置链接的URL参数：

  <!-- Thymeleaf示例 -->
  <a th:href="@{/forgot-password(clientId=${clientId})}">重置密码</a>
  

  其他模板引擎（如JSP）可通过对应语法将clientId拼接到链接中。
• 在密码重置入口控制器中，校验传入的client_id：通过RegisteredClientRepository查询客户端，若不存在则直接拒绝请求，避免无合法客户端调用重置URL的情况。

内容的提问来源于stack exchange，提问作者nucle