Spring Boot BFF架构下自动扩缩容时跨Pod/集群的OAuth2令牌访问问题

看起来你碰到了Spring Boot BFF在自动扩缩容场景下，跨Pod/集群共享OAuth2令牌的典型痛点——虽然已经用MongoDB存了会话，但OAuth2授权客户端的信息没跟着同步到新Pod里，导致无法加载令牌。我来给你梳理几个可行的解决方案：

1. 自定义OAuth2AuthorizedClientService持久化令牌到MongoDB #

Spring Security默认提供的InMemoryOAuth2AuthorizedClientService是内存级别的，这就导致新启动的Pod完全看不到其他Pod里存储的授权客户端信息。你需要自己实现一个基于MongoDB的版本，把OAuth2AuthorizedClient数据持久化到MongoDB中，这样所有Pod都能从同一个数据源读取令牌。

实现步骤： #

• 首先定义一个MongoDB实体类来映射OAuth2AuthorizedClient的核心字段：

@Document(collection = "oauth2_authorized_clients")
public class MongoOAuth2AuthorizedClient {
    @Id
    private String id;
    private String clientRegistrationId;
    private String principalName;
    private OAuth2AccessToken accessToken;
    private OAuth2RefreshToken refreshToken;
    private Instant authorizedAt;
    // 构造器、getter、setter省略
}

• 然后实现OAuth2AuthorizedClientService接口，用Spring Data MongoDB操作这个实体：

@Service
public class MongoOAuth2AuthorizedClientService implements OAuth2AuthorizedClientService {

    private final MongoTemplate mongoTemplate;

    public MongoOAuth2AuthorizedClientService(MongoTemplate mongoTemplate) {
        this.mongoTemplate = mongoTemplate;
    }

    @Override
    public <T extends OAuth2AuthorizedClient> T loadAuthorizedClient(String clientRegistrationId, String principalName) {
        Query query = new Query(Criteria.where("clientRegistrationId").is(clientRegistrationId)
                .and("principalName").is(principalName));
        MongoOAuth2AuthorizedClient mongoClient = mongoTemplate.findOne(query, MongoOAuth2AuthorizedClient.class);
        if (mongoClient == null) {
            return null;
        }
        // 转换为OAuth2AuthorizedClient对象返回
        return (T) new OAuth2AuthorizedClient(
                ClientRegistration.withRegistrationId(clientRegistrationId).build(),
                principalName,
                mongoClient.getAccessToken(),
                mongoClient.getRefreshToken()
        );
    }

    @Override
    public void saveAuthorizedClient(OAuth2AuthorizedClient authorizedClient, Authentication principal) {
        MongoOAuth2AuthorizedClient mongoClient = new MongoOAuth2AuthorizedClient();
        mongoClient.setClientRegistrationId(authorizedClient.getClientRegistration().getRegistrationId());
        mongoClient.setPrincipalName(principal.getName());
        mongoClient.setAccessToken(authorizedClient.getAccessToken());
        mongoClient.setRefreshToken(authorizedClient.getRefreshToken());
        mongoClient.setAuthorizedAt(Instant.now());
        mongoTemplate.save(mongoClient);
    }

    @Override
    public void removeAuthorizedClient(String clientRegistrationId, String principalName) {
        Query query = new Query(Criteria.where("clientRegistrationId").is(clientRegistrationId)
                .and("principalName").is(principalName));
        mongoTemplate.remove(query, MongoOAuth2AuthorizedClient.class);
    }
}

• 最后把这个自定义的Service注册为Bean，替换掉默认的内存实现即可。

2. 利用Spring Session整合OAuth2令牌存储 #

既然你已经在用MongoDB存储会话，那更简洁的方式是用Spring Session来自动同步OAuth2相关的令牌数据。Spring Session可以把SecurityContext和OAuth2授权信息一起持久化到MongoDB，这样跨Pod就能直接共享这些数据。

配置步骤： #

• 引入Spring Session MongoDB依赖：

<dependency>
    <groupId>org.springframework.session</groupId>
    <artifactId>spring-session-data-mongodb</artifactId>
</dependency>

• 在配置类上添加@EnableMongoHttpSession注解，开启MongoDB会话存储：

@Configuration
@EnableMongoHttpSession
public class SessionConfig {
    // 可以自定义会话过期时间等配置
}

• 确保你的OAuth2客户端配置和Spring Session整合，这样当用户登录后，OAuth2的授权客户端信息会自动跟着Session一起存到MongoDB。之后在任何Pod上，只要能拿到用户的Session（通过principal识别），就能加载到对应的OAuth2AuthorizedClient。

3. 从Session中直接获取令牌的替代方案 #

如果不想改动OAuth2AuthorizedClientService，你可以在用户登录成功时，把OAuth2AccessToken直接存入HttpSession，然后利用Spring Session的MongoDB共享能力，在其他Pod上从Session中取出令牌。

实现示例： #

• 自定义登录成功处理器：

@Component
public class CustomOAuth2LoginSuccessHandler extends SimpleUrlAuthenticationSuccessHandler {

    private final OAuth2AuthorizedClientService authorizedClientService;

    public CustomOAuth2LoginSuccessHandler(OAuth2AuthorizedClientService authorizedClientService) {
        this.authorizedClientService = authorizedClientService;
    }

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        if (authentication instanceof OAuth2AuthenticationToken oAuth2Token) {
            OAuth2AuthorizedClient authorizedClient = authorizedClientService.loadAuthorizedClient(
                    oAuth2Token.getAuthorizedClientRegistrationId(),
                    oAuth2Token.getName()
            );
            if (authorizedClient != null) {
                // 把令牌存入Session
                request.getSession().setAttribute("ACCESS_TOKEN", authorizedClient.getAccessToken());
            }
        }
        super.onAuthenticationSuccess(request, response, authentication);
    }
}

• 之后在需要令牌的地方，从Session中获取：

HttpSession session = request.getSession(false);
if (session != null) {
    OAuth2AccessToken accessToken = (OAuth2AccessToken) session.getAttribute("ACCESS_TOKEN");
    // 使用令牌进行后端通信
}

总结 #

推荐优先选择Spring Session整合的方案，因为它能和你现有的MongoDB会话存储无缝衔接，代码改动最小。如果需要更细粒度的控制，再考虑自定义OAuth2AuthorizedClientService的方式。

内容来源于stack exchange