SpringBoot OAuth2资源服务器启动未按预期调用授权服务器

一、可能遗漏的配置点 #

• 未强制触发JwtDecoder初始化：Spring Security 5.7.x中，基于issuer-uri生成的JwtDecoder默认是懒加载模式，仅在首次处理JWT请求时才会调用授权服务器端点。若要在启动阶段就验证授权服务器可用性，需手动触发初始化：
  自定义JwtDecoder Bean，主动调用初始化逻辑：

  @Bean
  public JwtDecoder jwtDecoder(OAuth2ResourceServerProperties properties) throws Exception {
      NimbusJwtDecoder decoder = NimbusJwtDecoder.withIssuerLocation(properties.getJwt().getIssuerUri()).build();
      // 启动时主动拉取授权服务器元数据与JWKS
      decoder.getJwkSetUri();
      return decoder;
  }
  

• 配置属性校验：确认application.properties中spring.security.oauth2.resourceserver.jwt.issuer-uri配置正确，需保证授权服务器正常时，能通过该URL访问到/.well-known/openid-configuration元数据端点，无拼写、端口或协议错误。
• 依赖正确性检查：确保引入了正确的starter依赖spring-boot-starter-oauth2-resource-server，且版本与SpringBoot 2.7.7匹配（对应Spring Security 5.7.6），避免依赖冲突导致自动配置失效。

二、启动时调用授权服务器的核心代码位置 #

• 核心解码器初始化逻辑：负责启动时调用授权服务器的核心逻辑在org.springframework.security.oauth2.jwt.NimbusJwtDecoder中。当主动触发初始化时，会通过OpenIdProviderConfigurationResolver请求授权服务器的元数据端点，提取JWKS地址后再请求公钥。
• 自动配置触发点：自动配置类org.springframework.security.oauth2.jwt.JwtDecoderConfiguration的jwtDecoderByIssuerUri方法默认创建懒加载的JwtDecoder，lambda中的初始化逻辑仅在首次使用时执行。若要启动时执行，需手动触发该初始化流程。
• 关键执行路径：启动时触发的话，会走NimbusJwtDecoder.withIssuerLocation(issuerUri).build() -> 调用OpenIdProviderConfigurationResolver.resolve()获取元数据 -> 解析出JWKS端点 -> 请求JWKS获取公钥的流程。

内容的提问来源于stack exchange，提问作者jmsjr