如何在Spring Security中兼容Auth0令牌与自定义公私钥令牌

要同时兼容Auth0生成的JWT和本地公私钥对生成的JWT，核心是让Spring Security能根据令牌的来源动态选择对应的认证逻辑。可以通过自定义AuthenticationManagerResolver来实现，具体步骤如下：

1. 配置两个JwtDecoder #

分别为Auth0和本地令牌创建独立的JwtDecoder，负责令牌的解析与签名验证：

// Auth0 JWT解码器：自动从issuer地址获取公钥
@Bean
public JwtDecoder auth0JwtDecoder() {
    return JwtDecoders.fromIssuerLocation("https://your-auth0-domain/");
}

// 本地公私钥JWT解码器：使用本地公钥验证签名
@Bean
public JwtDecoder localJwtDecoder() throws Exception {
    // 加载本地RSA公钥（示例从文件加载，也可从配置读取）
    File publicKeyFile = new File("path/to/public-key.pem");
    RSAPublicKey publicKey = (RSAPublicKey) KeyFactory.getInstance("RSA")
            .generatePublic(new X509EncodedKeySpec(Files.readAllBytes(publicKeyFile.toPath())));
    
    return NimbusJwtDecoder.withPublicKey(publicKey).build();
}

2. 为每个解码器创建AuthenticationManager #

每个JwtDecoder对应一个JwtAuthenticationProvider，包装成AuthenticationManager用于处理认证请求：

@Bean
public AuthenticationManager auth0AuthenticationManager(JwtDecoder auth0JwtDecoder) {
    JwtAuthenticationProvider provider = new JwtAuthenticationProvider(auth0JwtDecoder);
    // 可选：添加Auth0令牌的额外验证（比如audience）
    provider.setJwtValidator(JwtValidators.createDefaultWithIssuer("https://your-auth0-domain/"));
    return provider::authenticate;
}

@Bean
public AuthenticationManager localAuthenticationManager(JwtDecoder localJwtDecoder) {
    JwtAuthenticationProvider provider = new JwtAuthenticationProvider(localJwtDecoder);
    // 可选：添加本地令牌的验证规则（比如指定issuer、audience）
    provider.setJwtValidator(JwtValidators.createDefaultWithIssuer("your-local-issuer"));
    return provider::authenticate;
}

3. 自定义AuthenticationManagerResolver #

实现动态解析逻辑：根据请求中的令牌判断来源，选择对应的AuthenticationManager：

public class MultiAuthManagerResolver implements AuthenticationManagerResolver<HttpServletRequest> {

    private final AuthenticationManager auth0AuthManager;
    private final AuthenticationManager localAuthManager;
    private final JwtDecoder auth0JwtDecoder;

    public MultiAuthManagerResolver(AuthenticationManager auth0AuthManager, 
                                    AuthenticationManager localAuthManager,
                                    JwtDecoder auth0JwtDecoder) {
        this.auth0AuthManager = auth0AuthManager;
        this.localAuthManager = localAuthManager;
        this.auth0JwtDecoder = auth0JwtDecoder;
    }

    @Override
    public AuthenticationManager resolve(HttpServletRequest request) {
        String token = extractBearerToken(request);
        if (token == null) {
            throw new AuthenticationCredentialsNotFoundException("No bearer token found in request");
        }

        try {
            // 尝试用Auth0解码器解析，成功则使用Auth0的认证管理器
            Jwt jwt = auth0JwtDecoder.decode(token);
            if ("https://your-auth0-domain/".equals(jwt.getIssuer())) {
                return auth0AuthManager;
            }
        } catch (JwtException e) {
            // Auth0解析失败，说明是本地令牌，使用本地认证管理器
            return localAuthManager;
        }
        // 默认使用本地认证管理器（可根据业务调整）
        return localAuthManager;
    }

    // 从请求头提取Bearer令牌
    private String extractBearerToken(HttpServletRequest request) {
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            return authHeader.substring(7);
        }
        return null;
    }
}

4. 注册自定义Resolver并更新Security配置 #

将自定义的Resolver注入到OAuth2资源服务器配置中：

@Bean
public AuthenticationManagerResolver<HttpServletRequest> authenticationManagerResolver(
        AuthenticationManager auth0AuthManager,
        AuthenticationManager localAuthManager,
        JwtDecoder auth0JwtDecoder) {
    return new MultiAuthManagerResolver(auth0AuthManager, localAuthManager, auth0JwtDecoder);
}

// 更新原有Security配置
@Bean
public SecurityFilterChain filterChain(HttpSecurity http, 
                                       AuthenticationManagerResolver<HttpServletRequest> resolver) throws Exception {
    http
        // ... 其他配置（比如权限规则、CORS等）
        .oauth2ResourceServer(oauth2 -> oauth2
                .authenticationManagerResolver(resolver))
        .build();
    return http.build();
}

关键说明 #

• 令牌判断逻辑：示例通过issuer字段区分Auth0和本地令牌，你也可以根据业务需求改用audience、自定义claim等字段判断。
• 验证规则：每个AuthenticationManager可以独立配置令牌的验证规则（比如issuer、audience、过期时间等），确保不同来源的令牌都符合业务要求。
• 异常处理：当Auth0解码器解析失败时，自动 fallback到本地认证逻辑，无需额外配置。

内容的提问来源于stack exchange，提问作者krisnik