Spring资源服务器是否每次请求都调用授权服务器？JWT验证咨询

1. 为什么AuthServer停止后Resource Server仍能验证JWT #

JWT是自包含式令牌，里面已经封装了用户身份、权限、过期时间等核心信息，并且AuthServer签发时会用自己的密钥（对称密钥或非对称密钥对里的私钥）对JWT进行签名。

Resource Server验证JWT时，只需要用对应的验证密钥（对称密钥或公钥）来校验签名的合法性，同时检查令牌是否过期、内容是否符合要求——整个过程不需要和AuthServer交互。这是OAuth2中JWT模式的无状态特性，只要Resource Server持有合法的验证密钥，就能独立完成JWT的验证，哪怕AuthServer已经停止。

你之前以为需要每次请求AuthServer，那是传统的**令牌内省（Token Introspection）**模式，这种模式下Resource Server会把令牌发给AuthServer验证，但JWT模式本身不需要这么做。

2. 首次请求出现“无decoder()对应的@Bean”错误的原因及解决 #

这个错误是因为默认情况下，Spring Security的Resource Server会尝试从AuthServer的OIDC元数据端点（比如/.well-known/openid-configuration）自动拉取密钥和配置，来创建JWT解码器的Bean。如果AuthServer已经停止，Resource Server启动后首次请求时，没法访问这个端点获取必要信息，就会导致解码器Bean创建失败，抛出这个错误。

解决方法是手动配置JWT解码器，不需要依赖AuthServer的在线状态：

• 如果用对称密钥（比如HS256算法），直接在配置类里指定密钥：

@Bean
public JwtDecoder jwtDecoder() {
    SecretKey secretKey = Keys.hmacShaKeyFor("你的对称密钥字符串".getBytes(StandardCharsets.UTF_8));
    return NimbusJwtDecoder.withSecretKey(secretKey).build();
}

• 如果用非对称密钥（比如RS256算法），可以直接指定公钥的路径或内容：

@Bean
public JwtDecoder jwtDecoder() throws Exception {
    URL publicKeyUrl = new URL("classpath:public.key"); // 公钥文件放在资源目录下
    RSAPublicKey publicKey = (RSAPublicKey) KeyFactory.getInstance("RSA")
            .generatePublic(new X509EncodedKeySpec(Files.readAllBytes(Paths.get(publicKeyUrl.toURI()))));
    return NimbusJwtDecoder.withPublicKey(publicKey).build();
}

这样Resource Server启动时就能直接创建解码器Bean，不需要依赖AuthServer的在线状态。

内容的提问来源于stack exchange，提问作者voddy88