Spring企业REST API开发：Google OAuth2令牌验证相关咨询

1. 应该使用access token而非id_token的说法完全正确 #

• id_token的核心作用是供前端客户端完成用户身份认证，它承载的是用户基础身份信息（如姓名、邮箱），其受众（aud字段）指向的是你的前端客户端ID，而非后端资源服务器。如果后端用id_token做API权限验证，既不符合OAuth2的授权模型设计，还会出现受众不匹配的验证逻辑问题。
• access token是专门用于授权访问资源服务器的凭证，它的受众会指向你的后端API（针对自定义API场景）。用access token保护REST API是符合OAuth2规范的标准做法，Spring Security OAuth2资源服务器也原生支持对access token的验证逻辑。

2. Google认证服务器不支持令牌自省 #

Google OAuth2目前没有提供公开的令牌自省端点，无法通过自省方式验证不透明access token。如果你的场景中拿到的是不透明token，建议调整授权流程，获取JWT格式的access token，后端可直接本地完成验证：

• 前端发起授权请求时，务必包含openid scope，同时采用response_type=code的授权码流程（这是后端服务场景的推荐方案）。
• 后端通过授权码交换token时，Google会返回JWT格式的access token，你可以在Spring Security中配置JwtResourceServerConfigurer，借助Google公钥端点（框架会自动缓存公钥）验证JWT的签名、过期时间、受众等关键字段。

Spring配置简化示例 #

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(jwt -> jwt
                    .jwtAuthenticationConverter(jwtAuthenticationConverter())
                )
            );
        return http.build();
    }

    private JwtAuthenticationConverter jwtAuthenticationConverter() {
        JwtAuthenticationConverter converter = new JwtAuthenticationConverter();
        // 自定义权限转换逻辑：从JWT的scope字段提取权限
        converter.setJwtGrantedAuthoritiesConverter(jwt -> {
            Collection<String> scopes = jwt.getClaimAsStringList("scope");
            return scopes.stream()
                .map(SimpleGrantedAuthority::new)
                .collect(Collectors.toList());
        });
        return converter;
    }
}

内容的提问来源于stack exchange，提问作者ulxori