Spring Boot OAuth2客户端权限映射方法及资源服务器配置疑问

是否需要配置为资源服务器？ #

不一定需要。如果你的应用是单体Spring Boot MVC + Thymeleaf应用，前端页面与后端业务逻辑都在同一服务内，仅需通过OAuth2 Client完成用户认证，再结合Spring Security的URL/方法级授权规则保护页面和接口，那么直接基于oauth2-client依赖就能实现授权，无需额外配置为资源服务器。

但如果你的服务需要作为独立资源提供者，对外暴露REST接口供其他客户端（如移动端、第三方服务）调用，且需基于OAuth2令牌（如Access Token）做权限校验，那么配置为资源服务器会更契合OAuth2架构设计，此时需要引入oauth2-resource-server依赖。

无需资源服务器时，从ID Token私有声明映射角色权限的实现步骤 #

1. 让授权服务器返回含角色的ID Token私有声明 #

首先在授权服务器端配置，将用户角色存入ID Token的私有声明（比如声明键设为roles）。以Spring Authorization Server为例，可通过TokenCustomizer实现：

@Bean
public TokenCustomizer<JwtEncodingContext> tokenCustomizer() {
    return context -> {
        if (context.getTokenType().getValue().equals("id_token")) {
            UserDetails user = (UserDetails) context.getPrincipal().getPrincipal();
            List<String> roles = user.getAuthorities().stream()
                    .map(GrantedAuthority::getAuthority)
                    .map(auth -> auth.replace("ROLE_", ""))
                    .collect(Collectors.toList());
            context.getClaims().claim("roles", roles);
        }
    };
}

2. 自定义OAuth2UserService提取角色并转换为权限 #

在你的Spring Boot客户端应用中，自定义OAuth2UserService，从ID Token的私有声明中提取角色，转换为Spring Security标准的GrantedAuthority：

@Service
public class CustomOAuth2UserService extends DefaultOAuth2UserService {

    @Override
    public OAuth2User loadUser(OAuth2UserRequest userRequest) throws OAuth2AuthenticationException {
        OAuth2User oAuth2User = super.loadUser(userRequest);
        // 从ID Token属性中获取私有声明的角色列表
        List<String> roles = oAuth2User.getAttribute("roles");
        
        // 将角色转换为Spring Security标准权限（添加ROLE_前缀）
        Collection<GrantedAuthority> authorities = roles.stream()
                .map(role -> new SimpleGrantedAuthority("ROLE_" + role))
                .collect(Collectors.toList());
        
        // 返回包含权限信息的OAuth2User对象
        return new DefaultOAuth2User(authorities, oAuth2User.getAttributes(), "sub");
    }
}

3. 配置Spring Security授权规则 #

在Security配置类中注册自定义的OAuth2UserService，并配置URL级别的授权规则：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    private final CustomOAuth2UserService customOAuth2UserService;

    public SecurityConfig(CustomOAuth2UserService customOAuth2UserService) {
        this.customOAuth2UserService = customOAuth2UserService;
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(auth -> auth
                        .requestMatchers("/", "/public/**").permitAll() // 公开访问路径
                        .requestMatchers("/admin/**").hasRole("ADMIN") // 仅ADMIN角色可访问
                        .requestMatchers("/user/**").hasAnyRole("ADMIN", "USER") // ADMIN或USER角色可访问
                        .anyRequest().authenticated()
                )
                .oauth2Login(oauth2 -> oauth2
                        .userInfoEndpoint(userInfo -> userInfo
                                .userService(customOAuth2UserService) // 指定自定义用户服务
                        )
                );
        return http.build();
    }
}

4. Thymeleaf页面中基于权限控制元素显示 #

在Thymeleaf页面里，可通过Spring Security方言标签根据角色控制元素的展示：

<div sec:authorize="hasRole('ADMIN')">
    <a href="/admin/dashboard">管理员控制台</a>
</div>
<div sec:authorize="hasAnyRole('ADMIN', 'USER')">
    <a href="/user/profile">用户中心</a>
</div>

内容的提问来源于stack exchange，提问作者user2566397