如何让OidcIdTokenDecoderFactory同时支持RS256与RS512签名算法

1. 自定义OidcIdTokenDecoderFactory（最直接方案） #

原OidcIdTokenDecoderFactory会硬编码创建新的JwtDecoder，无法复用你自定义的逻辑，直接继承并重写核心方法是最直接的解决方式：

class CustomOidcIdTokenDecoderFactory : OidcIdTokenDecoderFactory() {
    // 注入你的JWK Set地址
    private val jwkSetUrl: URL = URL("你的JWK Set端点地址")

    override fun createDecoder(clientRegistration: ClientRegistration): JwtDecoder {
        // 复用你资源服务器的自定义Decoder逻辑
        val jwsKeySelector: JWSKeySelector<SecurityContext> = JWSAlgorithmFamilyJWSKeySelector.fromJWKSetURL(jwkSetUrl)
        val jwtProcessor = DefaultJWTProcessor<SecurityContext>()
        jwtProcessor.jwsKeySelector = jwsKeySelector
        return NimbusJwtDecoder(jwtProcessor)
    }
}

然后将自定义Factory注册为Bean：

@Bean
fun oidcIdTokenDecoderFactory(): OidcIdTokenDecoderFactory {
    return CustomOidcIdTokenDecoderFactory()
}

2. 复用通用Decoder配置逻辑 #

如果不想完全重写Factory，可以抽离自定义Decoder的构建逻辑，让Factory复用：

private fun buildCustomJwtDecoder(jwkSetUri: String): JwtDecoder {
    val jwsKeySelector = JWSAlgorithmFamilyJWSKeySelector.fromJWKSetURL<SecurityContext>(URL(jwkSetUri))
    val jwtProcessor = DefaultJWTProcessor<SecurityContext>()
    jwtProcessor.jwsKeySelector = jwsKeySelector
    return NimbusJwtDecoder(jwtProcessor)
}

在自定义Factory中调用这个方法，替换默认的Decoder创建逻辑即可。

3. 确认ClientRegistration配置有效性 #

如果你的场景不需要特殊的KeySelector逻辑，先检查ClientRegistration是否正确配置了JWK Set端点。原Factory会自动从ClientRegistration的配置中获取jwkSetUri并创建Decoder，但如果需要自定义签名算法处理逻辑，还是得通过自定义Factory实现。

总结：如果你的需求是自定义JWT处理器或KeySelector逻辑，自定义OidcIdTokenDecoderFactory是最稳妥的方案，因为原组件的Decoder创建逻辑无法直接复用外部定义的Bean。

内容的提问来源于stack exchange，提问作者Holm