基于Spring Authorization Server+Spring Boot3的Google SSO问题咨询

1. 是否需要生成自定义JWT？ #

需要。你的API依赖JWTAuthenticationToken和自定义声明做权限校验（比如@RolesAllowed("ADMIN")），而Google SSO登录后生成的是OAuth2AuthenticationToken，无法直接适配现有API的权限逻辑。生成自定义JWT可以让SSO用户和本地授权服务器生成的JWT用户共用同一套权限校验体系，保证权限规则的一致性。

2. 如何沿用Spring原生JWT编码实现？ #

你已经基于Spring Authorization Server实现了授权服务器，说明项目中已经配置了JwtEncoder Bean（通常是NimbusJwtEncoder），直接复用这个Bean即可，无需重复开发。

具体步骤：

1. 扩展CustomOAuth2UserService，从Google返回的用户数据中映射出你的系统角色、自定义声明等；
2. 在OAuth2登录的successHandler中注入JwtEncoder，构建JWT声明集后调用编码器生成JWT。

示例代码调整：
首先扩展用户服务，补充自定义声明处理：

@Service
public class CustomOAuth2UserService extends DefaultOAuth2UserService {

    @Override
    public OAuth2User loadUser(OAuth2UserRequest userRequest) throws OAuth2AuthenticationException {
        OAuth2User googleUser = super.loadUser(userRequest);
        // 从Google用户信息中提取或映射自定义声明，比如角色
        Map<String, Object> attributes = new HashMap<>(googleUser.getAttributes());
        // 此处示例按业务逻辑分配角色，实际需根据用户信息动态处理
        attributes.put("roles", Collections.singletonList("ADMIN"));
        return new CustomOAuth2User(attributes, googleUser.getName());
    }
}

然后修改SecurityConfig中的登录成功处理器，注入JwtEncoder生成JWT：

@Bean
@Order(2)
public SecurityFilterChain defaultSecurity(HttpSecurity http, JwtEncoder jwtEncoder) throws Exception {

    http.csrf().disable()
            .cors().configurationSource(corsConfigurationSource())
            .and()
            .authorizeHttpRequests()
            .requestMatchers("/v1/sign-up/**")
            .permitAll()
            .anyRequest()
            .authenticated()
            .and()
            .oauth2ResourceServer()
            .jwt().decoder(jwtDecoder)
            .jwtAuthenticationConverter(customJwtAuthenticationConverter())
            .and()
            .and()
            .formLogin(c ->
                    c.defaultSuccessUrl("/my-ui/index.html"))
            .oauth2Login()
            .userInfoEndpoint()
            .userService(oauthUserService)
            .and()
            .successHandler((request, response, authentication) -> {
                CustomOAuth2User oauthUser = (CustomOAuth2User) authentication.getPrincipal();
                
                // 构建JWT声明集
                Instant now = Instant.now();
                long expiry = 3600L; // 1小时有效期，可配置
                JwtClaimsSet claims = JwtClaimsSet.builder()
                        .issuer("your-authorization-server-issuer") // 和授权服务器配置一致
                        .subject(oauthUser.getName())
                        .issuedAt(now)
                        .expiresAt(now.plusSeconds(expiry))
                        .claims(claimsMap -> claimsMap.putAll(oauthUser.getAttributes())) // 包含自定义声明
                        .build();
                
                // 生成JWT
                Jwt jwt = jwtEncoder.encode(JwtEncoderParameters.from(claims));
                String jwtToken = jwt.getTokenValue();
                
                // 后续处理JWT返回，见问题3
                // ...
            });

    return http.build();
}

3. 生成JWT后如何返回给用户？ #

推荐用HttpOnly Cookie的方式返回，安全性更高，适配当前重定向到前端页面的流程：

// 在successHandler中生成JWT后添加以下代码
Cookie jwtCookie = new Cookie("access_token", jwtToken);
jwtCookie.setHttpOnly(true); // 防止JS读取，降低XSS风险
jwtCookie.setSecure(true); // 生产环境启用，仅HTTPS传输
jwtCookie.setPath("/"); // 全站有效
jwtCookie.setMaxAge((int) expiry); // 和JWT有效期保持一致
response.addCookie(jwtCookie);

// 重定向到前端页面，浏览器后续请求会自动携带该Cookie
response.sendRedirect("http://localhost:8080/my-ui/index.html");

后续前端调用API时，浏览器会自动携带Cookie，你的资源服务器会通过oauth2ResourceServer().jwt()配置解析Cookie中的JWT，转换为JWTAuthenticationToken，从而通过权限校验。

注意：如果是跨域名前后端分离场景，需要配置Cookie的SameSite属性（如SameSite=Lax或None），同时确保CORS配置允许携带Cookie。

内容的提问来源于stack exchange，提问作者Ran Sedaka