WebFlux环境下Spring Boot自定义Reactive OpaqueTokenResolver配置疑问

在Spring Boot 3.0.6的WebFlux环境中，原Servlet风格的OpaqueTokenIntrospector实现无法适配响应式场景，尝试切换响应式实现时遇到系统无法识别自定义令牌解析器的问题，核心原因是仍在使用Servlet风格的安全配置，且自定义实现存在接口错误和响应式流破坏的问题。

1. 正确实现响应式令牌解析器ReactiveOpaqueTokenIntrospector #

替换原Servlet风格的OpaqueTokenIntrospector为WebFlux专属的响应式接口，且禁止调用block()破坏响应式流，直接返回Mono<OAuth2AuthenticatedPrincipal>：

@Configuration
public class CustomReactiveOpaqueTokenIntrospector implements ReactiveOpaqueTokenIntrospector {
    private final TokenRepository tokenRepository;

    // 构造注入替代@Autowired（符合Spring最佳实践）
    public CustomReactiveOpaqueTokenIntrospector(TokenRepository tokenRepository) {
        this.tokenRepository = tokenRepository;
    }

    @Override
    public Mono<OAuth2AuthenticatedPrincipal> introspect(String token) {
        return tokenRepository.findItemByToken(token)
                .map(t -> new DefaultOAuth2AuthenticatedPrincipal(
                        t.user,
                        Map.of("sub", t.user),
                        Set.of()
                ));
    }
}

注意：移除@EnableWebSecurity注解，WebFlux环境下该注解用于Servlet安全配置，响应式安全无需此注解。

2. 配置WebFlux风格的安全过滤器链 #

替换原Servlet的HttpSecurity配置为WebFlux专属的ServerHttpSecurity，并指定自定义的响应式令牌解析器：

@Configuration
public class WebFluxSecurityConfiguration {
    private final CustomReactiveOpaqueTokenIntrospector customIntrospector;

    public WebFluxSecurityConfiguration(CustomReactiveOpaqueTokenIntrospector customIntrospector) {
        this.customIntrospector = customIntrospector;
    }

    @Bean
    public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
        return http
                .csrf(ServerHttpSecurity.CsrfSpec::disable)
                .oauth2ResourceServer(oauth2 -> oauth2
                        .opaqueToken(opaque -> opaque.introspector(customIntrospector))
                )
                .build();
    }
}

关键注意事项 #

• WebFlux环境下必须使用SecurityWebFilterChain而非Servlet的SecurityFilterChain，否则Spring Security无法加载响应式安全配置。
• 响应式实现中禁止调用block()，会阻塞线程破坏响应式模型，需保持流的链式调用。
• 自定义解析器需实现ReactiveOpaqueTokenIntrospector接口，而非Servlet的OpaqueTokenIntrospector，确保Spring Security能识别为响应式令牌解析器。

内容的提问来源于stack exchange，提问作者Benjamin Reed