新Spring Authorization Server能否生成JWT与Opaque之外的令牌？附旧版疑问

一、旧版Spring Security OAuth2的默认令牌类型 #

旧版Spring Security OAuth2（Spring Security OAuth 2.x）默认生成的是不透明令牌（Opaque Token）——这是一串无意义的随机字符串，令牌本身不携带任何用户或权限信息，客户端必须拿着令牌调用授权服务器的校验端点（比如/oauth/check_token），才能验证令牌合法性并获取关联的用户数据。

二、新版Spring Authorization Server能否生成与旧版相同的令牌 #

可以生成和旧版一致的不透明令牌，新版默认使用JWT，但可通过配置切换：

• 自定义令牌生成器，使用官方提供的OpaqueTokenGenerator实现类
• 在授权服务器配置类中替换默认的令牌生成逻辑：

@Bean
public OAuth2TokenGenerator<? extends OAuth2Token> tokenGenerator() {
    OpaqueTokenGenerator opaqueTokenGenerator = new OpaqueTokenGenerator();
    return opaqueTokenGenerator;
}

• 同时要确保配置了令牌存储组件（比如InMemoryOAuth2AuthorizationService或JDBC实现），因为不透明令牌需要服务器端存储令牌与用户信息的关联数据。

如果需要完全复刻旧版的令牌格式（比如特定长度、字符规则的随机串），还可以扩展OpaqueTokenGenerator，自定义令牌的生成逻辑。

内容的提问来源于stack exchange，提问作者francissoria