Spring Security 6中OAuth2TokenValidator的validate方法未触发问题

问题描述 #

实现了自定义AudienceValidator用于校验JWT的audience字段，调试确认jwtDecoder()方法会被执行，但发送携带Access Token的请求时，validate方法的断点从未触发，audience校验未生效。尝试手动指定解码器、改用Reactive解码器均无效。

核心问题与解决办法 #

1. AudienceValidator存在编译/运行时错误 #

你的AudienceValidator代码中，failure方法调用的error变量未定义，这会导致编译失败或运行时异常，直接导致验证器无法正常工作。

修复代码：

public class AudienceValidator implements OAuth2TokenValidator<Jwt> {

    private final String audience;

    public AudienceValidator(String audience) {
        this.audience = audience;
    }

    @Override
    public OAuth2TokenValidatorResult validate(Jwt jwt) {
        if (jwt.getAudience().contains(audience)) {
            return OAuth2TokenValidatorResult.success();
        } else {
            // 正确初始化OAuth2Error实例
            OAuth2Error error = new OAuth2Error(
                OAuth2ErrorCodes.INVALID_TOKEN,
                "JWT缺少必需的audience",
                null
            );
            return OAuth2TokenValidatorResult.failure(error);
        }
    }
}

2. Token解码阶段已失败 #

如果Access Token本身无效（签名错误、已过期、issuer不匹配等），解码阶段会直接抛出异常，不会进入后续的验证逻辑。

• 用jwt.io解析Token，确认：
  • 签名与配置的issuer公钥匹配
  • Token未过期（exp字段时间在当前时间之后）
  • iss字段与配置的spring.security.oauth2.resourceserver.jwt.issuer-uri一致

3. 解码器Bean未被正确注入/使用 #

• 确保项目类型与解码器类型匹配：
  • Spring MVC（Servlet）项目使用JwtDecoder，不要用ReactiveJwtDecoder
  • Spring WebFlux项目使用ReactiveJwtDecoder，同时Security配置需改为SecurityWebFilterChain
• 检查配置文件中是否存在其他JWT相关配置（如spring.security.oauth2.resourceserver.jwt.jwk-set-uri），这类配置会触发Spring自动创建解码器，可能覆盖你自定义的Bean。此时可以移除自动配置属性，确保自定义解码器被优先使用。

4. Spring Security版本兼容性问题 #

不同版本的Spring Security OAuth2资源服务器对JWT验证的处理逻辑略有差异：

• 对于Spring Security 5.6+，确保DelegatingOAuth2TokenValidator的使用方式正确，它会按顺序执行所有添加的验证器
• 若使用较旧版本，尝试升级到稳定版（如5.7.x或更高），避免版本BUG导致验证逻辑不触发

验证步骤 #

1. 修复AudienceValidator的错误后，重启项目
2. 用有效且包含目标audience的Token发送请求
3. 再次调试，确认validate方法是否被触发

内容的提问来源于stack exchange，提问作者Jose Gleeson