Spring WebClient OAuth客户端凭证流如何设置principalName

方式一：在WebClient过滤器中设置固定默认principalName #

修改你的webClient Bean配置，在创建ServerOAuth2AuthorizedClientExchangeFilterFunction后，调用setDefaultPrincipalName方法指定一个非空标识（比如客户端注册ID或自定义名称）：

@Bean
fun webClient(reactiveOAuth2AuthorizedClientManager: ReactiveOAuth2AuthorizedClientManager): WebClient {
    val oauth2ClientCredentialsFilter =
        ServerOAuth2AuthorizedClientExchangeFilterFunction(reactiveOAuth2AuthorizedClientManager)
    oauth2ClientCredentialsFilter.setDefaultClientRegistrationId("<registration_name>")
    // 设置固定的principalName，替换为你需要的标识
    oauth2ClientCredentialsFilter.setDefaultPrincipalName("client-credentials-principal")

    return WebClient.builder()
        .filter(oauth2ClientCredentialsFilter)
        .build()
}

方式二：在授权客户端管理器中自定义principalName生成逻辑 #

如果需要更灵活的principalName生成规则，可修改reactiveOAuth2AuthorizedClientManager Bean，设置自定义的PrincipalNameProvider：

@Bean
fun reactiveOAuth2AuthorizedClientManager(
    clientRegistrations: ReactiveClientRegistrationRepository,
    authorizedClients: ReactiveOAuth2AuthorizedClientService,
): ReactiveOAuth2AuthorizedClientManager {
    val authorizedClientManager =
        AuthorizedClientServiceReactiveOAuth2AuthorizedClientManager(clientRegistrations, authorizedClients)
    authorizedClientManager.setAuthorizedClientProvider(
        ClientCredentialsReactiveOAuth2AuthorizedClientProvider()
    )
    // 自定义principalName生成逻辑，示例返回固定值，也可根据上下文动态生成
    authorizedClientManager.setPrincipalNameProvider { _, _ ->
        Mono.just("client-credentials-principal")
    }
    return authorizedClientManager
}

核心原因说明 #

客户端凭证流本身无需用户身份，但AuthorizedClientServiceReactiveOAuth2AuthorizedClientManager需要通过principalName来唯一标识存储的授权客户端实例，因此必须提供非空的字符串值。你可根据业务场景选择固定标识或动态生成逻辑。

内容的提问来源于stack exchange，提问作者D-Wire