Reactive Spring Security：构建JwtIssuerResolver为何要求issuer集合非空？

为什么JwtIssuerReactiveAuthenticationManagerResolver要求初始Issuer集合非空？ #

Spring Security 给这个Resolver加Assert.notEmpty断言，核心是防御性编程设计：

• 避免启动后无任何可用认证管理器，导致所有认证请求直接失败且无明确错误原因
• 强制开发者考虑初始状态下的认证处理逻辑，防止疏忽引发无征兆的运行时异常
• 原始实现的预设场景是系统至少有一个默认租户或预配置租户，不支持完全动态的"零租户启动"模式

无租户时的初始化方案 #

方案1：自定义动态认证管理器Resolver（推荐） #

自己实现ReactiveAuthenticationManagerResolver<ServerWebExchange>，维护可动态更新的Issuer-认证管理器映射，初始允许为空，同时明确处理无匹配Issuer的请求逻辑。

示例代码：

import org.springframework.security.authentication.ReactiveAuthenticationManager;
import org.springframework.security.authentication.AuthenticationServiceException;
import org.springframework.security.oauth2.jwt.Jwt;
import org.springframework.security.oauth2.jwt.JwtDecoders;
import org.springframework.security.web.server.authentication.ReactiveAuthenticationManagerResolver;
import org.springframework.web.server.ServerWebExchange;
import reactor.core.publisher.Mono;

import java.util.Map;
import java.util.Objects;
import java.util.concurrent.ConcurrentHashMap;

public class DynamicJwtIssuerResolver implements ReactiveAuthenticationManagerResolver<ServerWebExchange> {
    private final Map<String, ReactiveAuthenticationManager> tenantAuthManagers = new ConcurrentHashMap<>();
    // 默认认证管理器：无租户时返回明确错误
    private final ReactiveAuthenticationManager defaultAuthManager = auth -> 
        Mono.error(new AuthenticationServiceException("No tenant configured for this request"));

    @Override
    public Mono<ReactiveAuthenticationManager> resolve(ServerWebExchange exchange) {
        // 从请求中提取Issuer（根据业务逻辑调整，比如解析JWT的iss字段）
        return extractIssuerFromRequest(exchange)
                .map(issuer -> tenantAuthManagers.getOrDefault(issuer, defaultAuthManager))
                .defaultIfEmpty(defaultAuthManager);
    }

    // 动态添加租户的方法：可通过REST接口、事件驱动等方式调用
    public void addTenant(String issuer, ReactiveAuthenticationManager authManager) {
        tenantAuthManagers.put(issuer, authManager);
    }

    // 示例：从Authorization头解析JWT的Issuer
    private Mono<String> extractIssuerFromRequest(ServerWebExchange exchange) {
        return Mono.justOrEmpty(exchange.getRequest().getHeaders().getFirst("Authorization"))
                .filter(header -> header.startsWith("Bearer "))
                .map(header -> header.substring(7))
                .map(this::parseJwtIssuer)
                .filter(Objects::nonNull);
    }

    private String parseJwtIssuer(String jwtToken) {
        try {
            // 实际场景建议缓存JwtDecoder提升性能
            Jwt jwt = JwtDecoders.fromIssuerLocation("dummy").decode(jwtToken);
            return jwt.getIssuer();
        } catch (Exception e) {
            return null;
        }
    }
}

配置Spring Security使用自定义Resolver：

@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http, DynamicJwtIssuerResolver resolver) {
    return http
            .authorizeExchange(exchanges -> exchanges.anyExchange().authenticated())
            .oauth2ResourceServer(oauth2 -> oauth2.authenticationManagerResolver(resolver))
            .build();
}

@Bean
public DynamicJwtIssuerResolver dynamicJwtIssuerResolver() {
    return new DynamicJwtIssuerResolver();
}

方案2：临时占位符Issuer（不推荐） #

如果不想完全自定义，可以初始化一个占位符Issuer，对应的认证管理器返回明确错误，后续添加真实租户后移除占位符：

@Bean
public JwtIssuerReactiveAuthenticationManagerResolver jwtIssuerResolver() {
    Map<String, ReactiveAuthenticationManager> initialManagers = Map.of(
        "placeholder-issuer", auth -> Mono.error(new AuthenticationServiceException("No tenant configured yet"))
    );
    JwtIssuerReactiveAuthenticationManagerResolver resolver = new JwtIssuerReactiveAuthenticationManagerResolver(initialManagers);
    
    // 注意：内部映射为私有属性，如需移除占位符需通过反射或继承扩展Resolver，灵活性较差
    return resolver;
}

关键注意点 #

• 动态添加租户时，用ConcurrentHashMap维护映射保证线程安全
• 提取Issuer的逻辑要适配业务场景（比如从请求路径、自定义请求头或JWT解析）
• 无租户时的默认处理逻辑要清晰，避免返回模糊错误

内容的提问来源于stack exchange，提问作者Adrian Hall