Spring Java应用存储OIDC令牌声明至数据库的优势及仅依赖令牌可行性

能否仅依赖令牌中的声明？ #

可以，但仅限场景简单的情况——比如你的应用完全依赖第三方IDP做身份和权限管理，不需要额外业务字段，也能接受IDP故障导致的服务中断。但实际生产环境里，这种方式会有不少局限：

• 令牌一旦过期，必须重新登录才能获取新的声明，没法在本地做临时的权限调整或信息补充。
• 完全绑定IDP，一旦IDP服务异常，你的应用直接没法验证用户身份，可用性大大降低。
• 令牌声明的结构由IDP决定，要是你需要加一些业务专属的字段（比如用户的系统偏好、业务权限细分），没法直接扩展，只能跟IDP协调修改，成本很高。

持久化到用户表和角色表的核心优势 #

把令牌里的用户、角色数据同步到本地数据库，能解决上面的大部分问题，具体优势包括：

• 解耦IDP依赖：就算IDP临时故障，本地有用户数据兜底，至少能完成基础的身份验证和授权，不会直接导致应用瘫痪。
• 业务扩展灵活：可以在本地表中自由添加业务所需的字段，比如用户的联系方式、自定义权限组、系统内的状态标记，不用受限于IDP的声明结构。
• 本地权限管控：能在应用内快速调整用户角色或权限（比如给用户临时开通某个功能权限），不用等待IDP那边的配置更新，响应更及时。
• 性能提升：不用每次请求都解析令牌或者调用IDP的验证接口，直接查询本地数据库更快，高并发场景下效果更明显。
• 业务数据关联：可以将用户数据和应用内的其他业务数据（比如订单、资产、日志）建立关联，这是仅靠令牌声明做不到的，能更好地支撑业务逻辑。

内容的提问来源于stack exchange，提问作者SocketM