如何在Spring OAuth2中接收无issuer字段的JWT？

当JWT不带issuer字段时，我想回退用jwk-uri或jwk-key-set做验证，但Spring OAuth2默认会因为issuer缺失直接校验失败，下面是两种解决思路：

方案一：重写Spring OAuth2的校验组件 #

要绕开默认的issuer强制校验，需要修改这几个核心部分：

• 自定义JwtIssuerValidator：默认的JwtIssuerValidator会硬要求issuer存在且匹配，你自己写一个校验器，逻辑改成：有issuer就校验是否匹配，没有就直接放行，不阻断后续的jwk验证。
• 替换JwtDecoder的校验链：如果用的是NimbusJwtDecoder，把默认的校验器换成你自定义的。示例代码：

@Bean
public JwtDecoder jwtDecoder() {
    NimbusJwtDecoder decoder = NimbusJwtDecoder.withJwkSetUri("你的jwk-set地址").build();
    // 替换校验器，保留时间戳校验等必要逻辑
    decoder.setJwtValidator(new DelegatingJwtValidator(
        List.of(
            new CustomIssuerValidator("预期的issuer值"),
            new JwtTimestampValidator()
        )
    ));
    return decoder;
}

• 资源服务器端配置替换校验器：如果是在资源服务器场景，也可以自定义OAuth2TokenValidator<Jwt>，然后通过ResourceServerConfigurer把它加到校验链里，替换默认的issuer校验逻辑。

方案二：注入默认Issuer并配置匹配 #

这个方案更轻量，不用改框架核心逻辑：

• 拦截JWT补全issuer：在Spring解析JWT之前，先拦截JWT内容，检查payload里的iss字段，如果没有就塞一个自定义值（比如emptyIssuer）。
• 配置对应Issuer信息：在配置文件里把资源服务器的issuer配置成你塞的这个默认值，同时保留jwk-uri配置。比如application.yml：

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: emptyIssuer
          jwk-set-uri: https://你的授权服务器地址/.well-known/jwks.json

这里的issuer-uri只是用来匹配你补的默认值，实际验证还是靠jwk-set-uri提供的密钥。

内容的提问来源于stack exchange，提问作者theonlyace14