Spring Security OAuth2授权服务器多用户认证问题及澄清

默认工作流程 #

• 访问授权端点获取授权码：需输入用户名和密码完成验证，验证通过后用户信息会存入当前请求对应的安全上下文
• 访问令牌端点获取JWT：授权服务器会读取安全上下文中的用户信息，以此生成对应的令牌

多用户场景的澄清 #

曾误以为多用户场景下会复用前一个用户的安全上下文，无需重新输入凭证，这是典型误解：Spring Security会为每个用户维护独立的会话，不同用户的信息分别存储在各自会话绑定的安全上下文中，彼此完全隔离。新用户发起授权请求时，必须重新输入自身的用户名和密码来完成验证，不会复用其他用户的会话信息。

内容的提问来源于stack exchange，提问作者loredon