Spring Boot OAuth2资源服务器如何配置多个第三方认证服务器

首先明确核心前提：
你找不到Github对应的issuer-uri、jwk-set-uri不是文档检索遗漏，是Github根本没实现完整OIDC协议，不签发可本地验签的JWT格式令牌，你之前给Google用的纯JWT本地验签模式只适用于Google、Facebook这类完整支持OIDC标准的提供商，Github、Twitter（X）这类平台签发的是不透明字符串令牌，必须走远程校验逻辑。

各身份提供商令牌模式说明 #

• Google：标准OIDC实现，签发JWT格式id_token/access_token，支持本地JWK验签，原有配置逻辑可直接复用
• Facebook：支持标准OIDC，开启对应配置后签发JWT令牌，可通过OIDC发现文档自动拉取验签配置
• Github：OAuth2.0实现未兼容OIDC核心规范，无公开JWK端点，签发的access_token为随机不透明字符串，必须通过官方内省接口或用户信息接口远程校验有效性
• Twitter/X：令牌逻辑与Github一致，无原生JWT签发能力，需走不透明令牌校验流程

具体实现步骤 #

1. 配置文件调整 #

放弃原有单JWT资源服务器配置，同时开启JWT、不透明令牌两种校验模式，补全所有客户端注册信息：

spring:
  security:
    oauth2:
      client:
        registration:
          # 保留原有Google客户端配置
          google:
            client-id: 你的Google客户端ID
            client-secret: 你的Google客户端密钥
            scope: openid,profile,email
          # 新增Facebook客户端配置
          facebook:
            client-id: 你的Facebook客户端ID
            client-secret: 你的Facebook客户端密钥
            scope: openid,public_profile,email
            authorization-grant-type: authorization_code
            redirect-uri: "{baseUrl}/login/oauth2/code/{registrationId}"
          # 新增Github客户端配置
          github:
            client-id: 你的Github客户端ID
            client-secret: 你的Github客户端密钥
            scope: read:user,user:email
            authorization-grant-type: authorization_code
            redirect-uri: "{baseUrl}/login/oauth2/code/{registrationId}"
        provider:
          facebook:
            issuer-uri: https://www.facebook.com
          github:
            user-info-uri: https://api.github.com/user
            user-name-attribute: id
      resourceserver:
        jwt:
          # 配置多个受信任的JWT签发方，会自动拉取对应JWK集合
          issuer-uri:
            - https://accounts.google.com
            - https://www.facebook.com
        # 开启不透明令牌校验，适配Github、Twitter等非JWT提供商
        opaquetoken:
          client-id: 你的Github客户端ID
          client-secret: 你的Github客户端密钥
          introspection-uri: https://github.com/login/oauth/introspect

2. 安全配置类改造 #

原有配置仅支持单JWT校验，需要改造为支持多JWT签发源、同时兼容不透明令牌校验的逻辑，核心是使用Spring Security自带的委托解码器自动匹配令牌类型和签发方：

@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(final HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .antMatchers("/**").fullyAuthenticated()
                .and()
                .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                .and()
                .oauth2ResourceServer()
                // JWT校验逻辑，适配Google、Facebook
                .jwt(jwt -> jwt.decoder(multiIssuerJwtDecoder()))
                // 不透明令牌校验逻辑，JWT验签失败后自动触发，适配Github
                .opaquetoken(opaque -> opaque.introspector(githubTokenIntrospector()))
                .and()
                .cors().and().csrf().disable();
    }

    /**
     * 多签发方JWT解码器，自动根据令牌内的iss claim匹配对应验签规则
     */
    @Bean
    public JwtDecoder multiIssuerJwtDecoder() {
        return new DelegatingJwtDecoder(
                JwtDecoders.fromIssuerLocation("https://accounts.google.com"),
                JwtDecoders.fromIssuerLocation("https://www.facebook.com")
        );
    }

    /**
     * Github不透明令牌校验器
     */
    @Bean
    public OpaqueTokenIntrospector githubTokenIntrospector() {
        // 基础内省逻辑，调用Github官方接口校验令牌有效性
        NimbusOpaqueTokenIntrospector baseIntrospector = new NimbusOpaqueTokenIntrospector(
                "https://github.com/login/oauth/introspect",
                "你的Github客户端ID",
                "你的Github客户端密钥"
        );
        // 可选：自定义权限转换器，将Github返回的scope映射为系统内权限标识
        return token -> {
            OAuth2AuthenticatedPrincipal principal = baseIntrospector.introspect(token);
            return new DefaultOAuth2AuthenticatedPrincipal(
                    principal.getName(),
                    principal.getAttributes(),
                    AuthorityUtils.createAuthorityList("ROLE_USER")
            );
        };
    }
}

验证与使用说明 #

• 所有认证源的令牌都统一使用Authorization: Bearer <令牌内容>的请求头格式传递，Postman中选择Bearer Token类型直接填入对应令牌即可，不需要额外标记认证源
• Spring Security会自动识别令牌类型：如果是符合格式的JWT，会先匹配issuer走本地验签；如果JWT验签失败，会自动调用不透明令牌内省接口做远程校验，校验通过即放行请求
• 接入Twitter时逻辑与Github完全一致，仅需要替换配置中的客户端信息、内省端点地址即可
• Facebook需在开发者后台开启OIDC兼容模式，否则会签发不透明令牌，此时需要和Github一样走不透明令牌校验流程

不要尝试给Github硬凑issuer-uri和jwk-set-uri配置，这类配置项在Github侧根本不存在，强行配置只会导致所有Github令牌验签失败。

内容的提问来源于stack exchange，提问作者eternal