自定义OAuth2授权同意流：多值属性选择的实现困惑咨询

绝对不建议完全移除OAuth2的范围组件，范围是OAuth2和OpenID Connect（OIDC）协议的核心约定，直接替换会导致第三方客户端无法遵循标准流程对接你的服务，不仅破坏兼容性，后续的维护、扩展也会面临大量非标准适配的问题。

替代方案：在标准OAuth2流程上叠加精细授权逻辑 #

你可以保留范围作为粗粒度的权限大类，在此基础上扩展精细的属性值选择逻辑，既符合协议规范，又满足业务需求：

• 范围作为权限大类：比如定义user.addresses范围代表允许共享地址类属性，user.roles代表允许共享角色信息，第三方客户端依然通过请求这些标准范围发起授权。
• 同意页细化选择：在授权同意环节，针对每个请求的范围，展示对应的具体属性值选项（比如user.addresses对应的"家庭地址"、"工作地址"），让用户勾选需要共享的具体值。
• 存储精细同意记录：在原有OAuth2授权同意记录的基础上，额外存储用户选择的具体属性值映射（比如用JSON格式存储{"user.addresses": ["home", "work"]}）。
• 授权时筛选数据：在生成ID Token、返回用户信息或处理资源请求时，结合标准范围和精细同意记录，只返回用户授权的具体属性值。

另外，还可以结合OIDC的原生扩展能力：

• 利用OIDC的claims参数：第三方客户端可以通过claims参数指定需要的具体属性，你可以在授权流程中拦截该请求，在同意页展示对应的属性值选项供用户选择。

Spring Authorization Server的自定义实现建议 #

不需要重写所有核心的OAuth2...AuthenticationProvider类，有更轻量的自定义方式：

1. 替换默认授权同意页：通过配置spring.security.oauth2.authorizationserver.consent-page指定自定义的同意页面，在页面中渲染具体属性值选项，收集用户的选择。
2. 拦截并扩展授权请求：实现自定义的OAuth2AuthorizationRequestResolver，在授权请求初始化时，预加载用户的可用属性值，传递到同意页；或者在用户提交同意后，通过AuthenticationSuccessHandler将用户选择的具体值存储到OAuth2Authorization的attributes字段中。
3. 扩展令牌生成逻辑：实现OAuth2TokenCustomizer<JwtEncodingContext>，在生成ID Token时，根据存储的精细同意数据，筛选出用户允许的属性值添加到令牌的claims中。
4. 扩展授权同意存储：不用完全重写OAuth2AuthorizationConsentService，可以继承默认的实现（比如InMemoryOAuth2AuthorizationConsentService或基于数据库的实现），在保存同意记录时，额外存储精细的属性值同意信息，后续授权决策时读取该信息。

内容的提问来源于stack exchange，提问作者user3677636