Spring Security中OAuth2授权码流无法刷新过期Access/ID令牌问题

针对UI客户端（Client）的实现思路 #

• 扩展令牌存储与校验逻辑：自定义实现OAuth2AuthorizedClientRepository或OAuth2AuthorizedClientService，在每次获取授权客户端信息时，主动检查Access Token和ID Token的过期时间。若已过期，调用OAuth2授权服务器的刷新令牌端点获取新令牌；如果刷新请求返回失败（比如Refresh Token也过期），直接清除当前用户的会话信息。
• 请求前置拦截校验：添加自定义Filter或利用Spring Security的RequestInterceptor，在UI应用发起资源请求前，先校验本地存储的令牌状态。一旦检测到令牌过期，立即触发刷新流程，刷新失败则跳转至登录页面或清除会话。
• 自定义令牌响应客户端：扩展OAuth2AccessTokenResponseClient，在处理刷新令牌的响应时，捕获刷新失败的异常（如OAuth2AuthorizationException），并在异常处理逻辑中执行会话终止操作，比如调用SecurityContextHolder.clearContext()和HttpSession.invalidate()。

针对资源服务器（Resource Server）的实现思路 #

• 自定义Bearer令牌校验过滤器：继承BearerTokenAuthenticationFilter，重写doFilterInternal方法，在解析令牌后先判断令牌是否过期。若已过期，直接返回401 Unauthorized并携带特定标识（如响应头X-Token-Expired: true），提示客户端触发刷新流程；同时配置自定义AuthenticationEntryPoint，在刷新失败后引导客户端终止会话。
• 实现自定义令牌校验器：创建OAuth2TokenValidator的实现类，在validate方法中添加令牌过期校验逻辑。当校验到令牌过期时，返回包含错误信息的OAuth2TokenValidationResult，随后在AuthenticationFailureHandler中处理该错误，返回对应的响应状态，让客户端知晓需要刷新或终止会话。
• 统一异常处理机制：在资源服务器中配置全局异常处理器，捕获令牌过期相关的异常（如JwtExpiredException），返回标准化的错误响应，明确告知客户端令牌已失效，需要尝试刷新；若客户端多次返回刷新失败的请求，则直接拒绝并提示终止会话。

内容的提问来源于stack exchange，提问作者Daga