OAuth2授权服务器能否由服务端生成AccessToken供客户端回传授权？

完全可以实现你的需求——由OAuth2授权服务器生成AccessToken，客户端获取后携带该token向资源服务器发起请求完成授权，这本身就契合OAuth2的标准设计逻辑。以下是具体实现要点：

1. 确保AccessToken由授权服务器生成 #

在Spring Security OAuth2体系中，默认的授权服务器配置就会负责token的生成，你只需要确保以下配置正确：

• 若使用新版本Spring Security OAuth2 Authorization Server（如2.x+），通过OAuth2AuthorizationServerConfigurer配置token生成器，比如指定JWT作为token格式、配置签名密钥，确保所有token都由授权服务器的/oauth2/token端点生成并返回。
• 若使用旧版本Spring Security OAuth2，通过AuthorizationServerConfigurerAdapter配置tokenServices，采用默认DefaultTokenServices或自定义实现，指定token存储方式（内存、数据库或JWT），绝对禁止客户端自行生成token的逻辑。

2. 客户端获取AccessToken的标准流程 #

客户端通过OAuth2标准授权流程（如授权码模式、客户端凭证模式）向授权服务器请求token：

• 以授权码模式为例：客户端先引导用户跳转至授权服务器的授权页面，用户完成授权后客户端获取授权码，再携带授权码向授权服务器的/oauth2/token端点发起请求，授权服务器验证通过后生成并返回包含access_token的响应。
• 所有token生成请求必须直接发送至授权服务器，确保token的合法性与统一性。

3. 客户端携带AccessToken请求资源服务器授权 #

客户端拿到access_token后，在请求资源服务器接口时，将token放入HTTP请求的Authorization头中，格式为Bearer <access_token>。资源服务器需完成以下校验：

• 若使用JWT格式token：资源服务器可通过配置的公钥直接验证token的签名、有效期及权限信息，无需调用授权服务器。
• 若使用非JWT格式token（如UUID）：资源服务器需调用授权服务器的/oauth2/introspect端点，传入token验证其有效性与权限范围。

你提到的Spring Security教程中，授权服务器的配置本身已包含token生成逻辑，只需确保客户端严格通过授权服务器的端点获取token，再携带token访问资源服务器即可满足你的核心需求。

内容的提问来源于stack exchange，提问作者Suusus Ayayya