Spring Boot类型转换错误：UsernamePasswordAuthenticationToken无法转为OAuth2AuthenticationToken

你遇到的类型转换错误，核心原因是当前SecurityContext中的认证对象是来自内存表单登录的UsernamePasswordAuthenticationToken，但你强行将其转换为OAuth2AuthenticationToken——这两个是完全不同的认证令牌：

• UsernamePasswordAuthenticationToken：代表用户登录你的Spring Boot应用时的身份凭证（内存用户）
• OAuth2AuthenticationToken：代表用户通过OAuth2协议登录应用时的身份凭证，而你的场景是应用作为OAuth2客户端去调用第三方API，和用户登录你的应用的认证体系无关。

你的需求是：应用（作为OAuth2客户端）使用密码模式调用第三方OAuth2 API，和用户登录你的应用的内存认证是两个独立的流程，不需要关联用户的登录令牌。下面是具体修复步骤：

1. 修正Controller中的令牌获取逻辑 #

不要从用户的Authentication中强转，而是直接通过Spring Security的OAuth2客户端组件获取调用API所需的令牌。修改Controller代码如下：

@Autowired
private OAuth2AuthorizedClientManager authorizedClientManager;

public void callOAuth2Api() {
    // 构建OAuth2授权请求，指定客户端注册ID（对应application.yaml里的someClientId）
    OAuth2AuthorizeRequest authorizeRequest = OAuth2AuthorizeRequest.withClientRegistrationId("someClientId")
            .principal(new UsernamePasswordAuthenticationToken(
                    "some username", // 第三方API的用户名（对应aapp.api.security.username）
                    "pass"           // 第三方API的密码（对应aapp.api.security.password）
            ))
            .build();

    // 获取授权客户端和令牌
    OAuth2AuthorizedClient authorizedClient = authorizedClientManager.authorize(authorizeRequest);
    String tokenValue = authorizedClient.getAccessToken().getTokenValue();
    System.out.println("jwtAccessToken: " + tokenValue);

    // 后续调用API的逻辑不变
    String url = "https://<url to interface>";
    HttpHeaders headers = new HttpHeaders();
    headers.add("Authorization", "Bearer " + tokenValue);

    HttpEntity entity = new HttpEntity(headers);
    ResponseEntity<List<Object>> responseEntity = restTemplate.exchange(
            url, 
            HttpMethod.GET, 
            entity, 
            new ParameterizedTypeReference<List<Object>>(){}
    );
    List<Object> body = responseEntity.getBody();
    for (Object obj : body) {
        System.out.println(obj);
    }
}

2. 完善OAuth2客户端配置 #

在application.yaml的security profile中，补充OAuth2客户端的scope（如果第三方API要求指定权限范围），并确保provider和registration的关联：

---
spring:
  profiles: security

aapp.api.security:
  username: some username
  password: pass

spring.security.oauth2.client:
  registration:
    someClientId:
      authorization-grant-type: password
      client-id: <clientId>
      client-secret: <clientSecret>
      provider: coba  # 关联下面的provider配置
      scope: read,write  # 根据第三方API要求调整
  provider:
    coba:
      token-uri: https://<url to auth2 server>

3. 保留原有的Security配置 #

你的内存表单登录配置（SecurityConfig）不需要修改，因为它负责的是用户登录你的应用，和应用作为OAuth2客户端调用API的流程完全独立。Spring Boot会自动加载OAuth2客户端的相关Bean（如OAuth2AuthorizedClientManager），无需额外配置。

关键说明 #

• 你混淆了**用户认证（登录你的应用）和客户端认证（应用调用第三方API）**两个概念：前者是用户和你的应用之间的身份验证，后者是你的应用和第三方OAuth2服务之间的身份验证。
• 使用密码模式时，需要提供第三方API的用户名密码，而不是你的应用的内存用户凭证。

内容的提问来源于stack exchange，提问作者Syed Iftekharuddin