OAuth2：从已有Web应用启动SPA无需重复认证方案咨询

背景 #

我们现有一个基于Wicket/Java/Spring/Tomcat的传统Web应用，正逐步迁移至Vue.js单页应用（SPA）。用户访问应用特定模块时会加载SPA，直至切换回旧模块。
当前所有用户认证由传统Web应用处理，生成Tomcat会话（JSESSIONID Cookie）。SPA目前与承载传统Web应用的Java单体应用API交互，通过检查请求中的JSESSIONID Cookie/Tomcat HTTP会话完成认证。

┌──────────────┐
       │  Browser     │
       │              │          ┌────────────┐
       │  ┌──────┐    │          │  Monolith  │
 ──────┼─►│ HTML │◄───┼─────────►│    java    ├──────────────┐
       │  └──────┘    │          └────────────┘              ▼
       │              │             ▲             ┌──────────────────────┐
       │ ┌─────────┐  │             │             │ OAuth2 Authorization │
       │ │   SPA   │◄─┼─────────────┘             │       Server         │
       │ │ (VueJs) │  │                           └──────────────────────┘
       │ └────┬────┘  │                                      ▲
       │      │       │                                      │
       └──────┼───────┘               ┌──────────────┐       │
              │                       │ Microservice │       │
              └──────────────────────►│     java     ├───────┘
                                      └──────────────┘

需求 #

我们正在开发新的Java微服务（含API），希望SPA能与之交互，但共享JSESSIONID Cookie的方案不再适用，需采用OAuth2保护新微服务，要求所有请求携带有效访问令牌。

问题 #

现有OAuth2文档多聚焦于标准流程（隐式授权、带PKCE的授权码流程），需用户重新认证，这不适用于当前混合架构（认证仍由传统Web应用处理）。现咨询：

1. 此类场景下常用的解决方案有哪些？
2. 如何在SPA加载时为其提供信息，使其能向新微服务API发起预认证请求？
   我们也考虑将传统Web应用登录流程迁移至OAuth架构，但仍不清楚如何解决SPA的相关问题。

解决方案 #

1. 混合架构下的OAuth2适配方案 #

• BFF模式（后端为前端）：将传统单体应用作为SPA的后端代理。SPA加载后，通过已有的JSESSIONID会话向单体应用请求令牌；单体应用凭借自身与授权服务器的信任关系（比如客户端凭证），结合用户已认证的会话信息，向授权服务器申请访问令牌，再返回给SPA。此方案无需用户二次登录，且令牌流转全程受后端管控。
• 会话交换流程：基于OAuth2扩展机制，将传统应用的JSESSIONID作为可信凭证，向授权服务器交换访问令牌。授权服务器需预先配置信任传统应用的会话系统，验证用户已登录后直接颁发令牌给SPA。
• 渐进式认证迁移：先将传统应用的登录流程对接OAuth2授权服务器，用户登录时同步获取OAuth2令牌与JSESSIONID（兼容旧模块）。SPA加载时，可直接从传统应用获取已存在的令牌，或通过静默刷新（利用refresh_token）获取新令牌，避免二次认证。

2. SPA预认证的实现方式 #

• 服务器端嵌入初始认证信息：传统应用在渲染SPA入口页面时，服务器端生成短有效期的访问令牌（或临时授权码），嵌入到页面的全局JS变量中（如window.__AUTH_DATA__ = { accessToken: 'xxx', expiresIn: 1800 }）。SPA初始化时读取该变量，即可直接使用令牌调用微服务。需配合令牌刷新机制，避免过期后影响使用。
• SPA主动向单体应用申请令牌：SPA加载完成后，先调用传统单体应用的专属令牌接口（该接口依赖JSESSIONID Cookie完成认证）。单体应用验证用户会话有效后，向授权服务器申请令牌并返回给SPA。此方式比嵌入更安全，避免令牌暴露在HTML源码中。
• 临时Cookie传递凭证：传统应用设置一个非HttpOnly的Cookie，存放临时授权码或一次性令牌。SPA读取该Cookie后立即清除，再用此凭证向授权服务器交换正式的访问令牌。这种方式能减少令牌在前端的暴露时长。

内容的提问来源于stack exchange，提问作者Oliver Henlich