Spring Authorization Server兼作资源服务器的端点权限配置问题

你遇到的核心问题是自定义的SecurityFilterChain覆盖了OAuth2授权服务器的默认安全配置，导致原有授权功能失效。要同时保留授权服务器功能和自定义端点的权限控制，需要拆分安全配置，让不同的SecurityFilterChain分别处理授权服务器端点和自定义资源端点。

步骤1：创建自定义资源服务器的SecurityFilterChain #

创建一个优先级更高的SecurityFilterChain（通过@Order指定），仅匹配/users/**相关端点，避免干扰授权服务器的默认端点（如/oauth2/token、/oauth2/authorize等）：

@Bean
@Order(90) // 优先级高于授权服务器默认的FilterChain（默认order为100）
public SecurityFilterChain customResourceFilterChain(HttpSecurity http) throws Exception {
    http
        // 仅对/users/**路径应用此配置
        .securityMatcher("/users/**")
        .authorizeHttpRequests(auth -> auth
            // POST /users 允许匿名访问
            .requestMatchers(HttpMethod.POST, "/users").permitAll()
            // GET /users/{userId}/permissions 需要携带有效JWT令牌
            .requestMatchers(HttpMethod.GET, "/users/{userId}/permissions").authenticated()
            // 其他/users下的路径按需配置，这里默认拒绝
            .anyRequest().denyAll()
        )
        // 配置资源服务器，启用JWT令牌验证
        .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()))
        // 对POST /users关闭CSRF验证（如果是表单提交或非AJAX请求可按需调整）
        .csrf(csrf -> csrf.ignoringRequestMatchers(HttpMethod.POST, "/users"));

    return http.build();
}

步骤2：保留授权服务器的默认配置 #

Spring Boot OAuth2 Authorization Server会自动创建一个处理自身端点的SecurityFilterChain（order为100），无需手动重新定义，这样授权服务器的原有功能（令牌颁发、授权流程等）会正常工作。

步骤3：配置JWT解码器（可选） #

如果授权服务器和资源服务器是同一应用，可直接复用授权服务器的JWT解码器，确保能正确验证自身颁发的令牌：

@Bean
public JwtDecoder jwtDecoder(OAuth2AuthorizationServerConfigurationContext context) {
    return OAuth2AuthorizationServerConfiguration.jwtDecoder(context);
}

关键说明 #

• @Order注解：通过设置更低的数值（优先级更高），让自定义配置先匹配/users/**路径，授权服务器的默认配置处理其他路径。
• securityMatcher：限定当前FilterChain仅作用于指定路径，避免影响授权服务器的核心端点。
• oauth2ResourceServer：启用资源服务器模式，让Spring Security自动验证请求头中的Authorization: Bearer {token}令牌。

这样配置后，既可以正常使用授权服务器的所有功能，又能实现自定义端点的权限控制：

• POST /users：无需令牌即可访问
• GET /users/{userId}/permissions：必须携带有效JWT令牌才能访问

内容的提问来源于stack exchange，提问作者bsgrd