使用Spring InMemoryClientRegistrationRepository存明文敏感信息是否有安全风险？

风险评估：你的担忧并非过度 #

• 内存转储威胁：若服务器被攻陷，攻击者可通过核心转储、调试工具或内存扫描直接获取内存中的明文凭证。
• 内部权限风险：拥有服务器访问权的运维、开发人员，能通过Spring Boot Actuator端点、调试应用上下文等方式，获取OAuth2AuthorizedClientRepository中的敏感数据。
• 多客户场景放大风险：涉及多个外部授权服务器的凭证一旦泄露，影响范围会覆盖多个客户/系统，风险面更广。

是否需要自定义客户端仓库？ #

是的，尤其是高安全要求的生产环境中，自定义ClientRegistrationRepository加密存储敏感字段是必要的防护手段，以下是具体实现思路：

自定义加密版内存仓库 #

包装默认的InMemoryClientRegistrationRepository，对clientSecret等敏感字段加密后存储，仅在需要使用时解密：

import org.springframework.security.oauth2.client.registration.ClientRegistration;
import org.springframework.security.oauth2.client.registration.InMemoryClientRegistrationRepository;
import org.springframework.security.crypto.encrypt.TextEncryptor;

public class EncryptedInMemoryClientRegistrationRepository extends InMemoryClientRegistrationRepository {

    private final TextEncryptor encryptor;

    public EncryptedInMemoryClientRegistrationRepository(Iterable<ClientRegistration> registrations, TextEncryptor encryptor) {
        super(encryptRegistrations(registrations, encryptor));
        this.encryptor = encryptor;
    }

    private static Iterable<ClientRegistration> encryptRegistrations(Iterable<ClientRegistration> registrations, TextEncryptor encryptor) {
        return registrations.stream()
                .map(reg -> ClientRegistration.from(reg)
                        .clientSecret(encryptor.encrypt(reg.getClientSecret()))
                        .build())
                .toList();
    }

    @Override
    public ClientRegistration findByRegistrationId(String registrationId) {
        ClientRegistration encryptedReg = super.findByRegistrationId(registrationId);
        if (encryptedReg == null) return null;
        return ClientRegistration.from(encryptedReg)
                .clientSecret(encryptor.decrypt(encryptedReg.getClientSecret()))
                .build();
    }
}

配套加密密钥管理 #

使用Spring Security的TextEncryptor（如AesGcmTextEncryptor），密钥需从安全来源获取：

• 云服务商密钥管理服务（KMS）
• 环境变量（禁止硬编码到代码或配置文件）
• 加密的配置文件（配合Spring Cloud Config加密功能）

额外的分层防护措施 #

• 限制Bean访问权限：通过Spring Security方法安全，限制对敏感Bean的访问：

  @PreAuthorize("hasRole('ADMIN')")
  public OAuth2AuthorizedClient getAuthorizedClient(String clientRegistrationId, String principalName) {
      return authorizedClientRepository.loadAuthorizedClient(clientRegistrationId, principalName, null);
  }
  

• JVM内存防护：启用JVM内存加密特性（如OpenJ9的-XX:EncryptHeap），或使用操作系统级内存锁定（mlock），防止内存被写入磁盘。
• 日志脱敏：确保所有日志输出中，clientSecret、tokenUri等敏感字段自动脱敏，避免泄露。
• 凭证定期轮换：自动化轮换clientSecret等凭证，即使发生泄露，也能快速降低影响范围。

场景化决策建议 #

• 高安全环境（金融、医疗）：必须实现内存加密存储，结合上述所有防护措施。
• 普通生产环境：至少实现内存加密+密钥安全管理，同时限制内部访问权限。
• 测试/开发环境：可暂时使用默认实现，但需避免将生产级凭证带入测试环境。

内容的提问来源于stack exchange，提问作者franky duke