Spring Authorization Server中RegisteredClient与UserDetails的区别及安全疑问

1. 该场景下 UserDetails 和 RegisteredClient 的作用 #

• RegisteredClient：是授权服务器对客户端应用的身份定义，包含客户端ID、密钥、允许的授权类型、权限范围等核心信息。你用客户端凭证流成功获取令牌，是因为这个流程只需要验证客户端本身的合法性——授权服务器通过RegisteredClientRepository匹配你传入的客户端ID和密钥，校验通过就会颁发令牌。
• UserDetails：是授权服务器对终端用户的身份描述，涵盖用户名、密码、用户权限等信息。它仅用于需要用户参与的授权流程（比如授权码流、密码流）。你用用户信息请求失败，是因为客户端凭证流根本不需要用户身份信息，UserDetails在这里完全用不上；如果走密码流，才会通过UserDetailsService加载用户信息做校验。

2. 服务间客户端凭证流中，资源服务器如何验证令牌归属合法服务 #

• 校验令牌签名与有效性：资源服务器配置授权服务器的公钥（或通过JWKS端点自动拉取），验证令牌签名是否未被篡改，同时检查令牌的过期时间（exp）、生效时间（nbf）等字段，确保令牌本身有效。
• 校验权限范围（Scope）：客户端凭证流的令牌会包含该客户端被授权的权限范围（scope）。资源服务器可以给接口配置所需的scope，只有令牌中的scope包含对应权限时，才允许访问。
• 校验客户端ID：客户端凭证流的令牌默认会携带client_id字段，资源服务器可以提前维护合法服务的client_id列表，验证时检查令牌中的client_id是否在列表内，确保只有登记过的服务能访问资源。
• 令牌黑名单机制：如果客户端凭证泄露或需要提前失效令牌，资源服务器可以维护一个黑名单，验证时先检查令牌是否在黑名单中，防止冒用。

内容的提问来源于stack exchange，提问作者Yuriy Kirel