如何为Springfox配置多个OAuth2客户端的SecurityConfiguration？

首先直接给结论：Springfox并不支持直接配置多个SecurityConfiguration实例——这个类是用来全局配置Swagger UI的OAuth2客户端参数的，Spring容器只会加载第一个注册的SecurityConfiguration Bean，多实例的配置会被忽略。不过我们可以通过另一种方式实现多OAuth2客户端的需求，下面是具体的解决方案：

1. 为每个客户端配置独立的SecurityScheme #

每个OAuth2客户端对应一个OAuth2Scheme，确保每个Scheme的name唯一，这样Swagger UI才能区分它们。示例代码如下：

private fun appA_AuthSecuritySchema(): SecurityScheme {
    return OAuthBuilder()
        .name("appA_oauth") // 唯一名称
        .grantTypes(AuthorizationGrantType.builder()
            .authorizationCodeGrant("http://your-auth-server/oauth/authorize")
            .tokenEndpoint("http://your-auth-server/oauth/token")
            .build())
        .scopes(listOf(
            AuthorizationScope("appA.read", "Read access for App A"),
            AuthorizationScope("appA.write", "Write access for App A")
        ))
        .clientId(CLIENT_ID_A)
        .build()
}

private fun appB_AuthSecuritySchema(): SecurityScheme {
    return OAuthBuilder()
        .name("appB_oauth") // 唯一名称
        .grantTypes(AuthorizationGrantType.builder()
            .authorizationCodeGrant("http://your-auth-server/oauth/authorize") // 若授权服务器相同可复用
            .tokenEndpoint("http://your-auth-server/oauth/token")
            .build())
        .scopes(listOf(
            AuthorizationScope("appB.read", "Read access for App B"),
            AuthorizationScope("appB.write", "Write access for App B")
        ))
        .clientId(CLIENT_ID_B)
        .build()
}

2. 绑定SecurityScheme到对应API路径 #

通过SecurityContext将每个客户端的SecurityScheme关联到特定的API路径，确保不同路径使用对应的客户端授权：

private fun appA_AuthSecurityContext(): SecurityContext {
    return SecurityContext.builder()
        .securityReferences(listOf(
            SecurityReference.builder()
                .reference("appA_oauth") // 和对应SecurityScheme的name一致
                .scopes(arrayOf(
                    AuthorizationScope("appA.read", "Read access for App A"),
                    AuthorizationScope("appA.write", "Write access for App A")
                ))
                .build()
        ))
        .forPaths(PathSelectors.ant("/appA/**")) // 匹配App A的API路径
        .build()
}

private fun appB_OAuthSecurityContext(): SecurityContext {
    return SecurityContext.builder()
        .securityReferences(listOf(
            SecurityReference.builder()
                .reference("appB_oauth") // 和对应SecurityScheme的name一致
                .scopes(arrayOf(
                    AuthorizationScope("appB.read", "Read access for App B"),
                    AuthorizationScope("appB.write", "Write access for App B")
                ))
                .build()
        ))
        .forPaths(PathSelectors.ant("/appB/**")) // 匹配App B的API路径
        .build()
}

3. 移除全局SecurityConfiguration，让Swagger UI自动识别多客户端 #

不要注册SecurityConfiguration Bean（也就是你之前写的swaggerSecurityConfiguration()），因为它会覆盖全局OAuth配置，导致多客户端失效。

当你完成上述两步配置后，打开Swagger UI点击「Authorize」按钮，就能看到所有配置的OAuth2客户端选项。用户可以选择对应的客户端，输入必要的密钥（如果需要），完成授权后即可访问对应路径的API。

额外提示 #

• 如果多个客户端使用同一授权服务器，只需要修改clientId和scopes，授权地址可以复用。
• 确保每个SecurityScheme的name唯一，否则Swagger UI无法区分不同客户端。

内容的提问来源于stack exchange，提问作者d0x