Spring新授权栈中ClientDetailsService的替代方案咨询

旧版已生命周期终止的 Spring Security OAuth 组件中的ClientDetailsService，在官方新栈「Spring Security + Spring Authorization Server」中的官方替代组件是 RegisteredClientRepository。

核心对应关系 #

两者职责完全对齐，都是负责客户端授权配置的加载、持久化管理，适配多客户端管理场景可以直接基于该接口扩展：

• 旧组件ClientDetailsService核心能力：根据客户端ID加载客户端身份凭证、允许的授权类型、回调地址、权限范围、令牌有效期等配置
• 新组件RegisteredClientRepository核心能力：作为Spring Authorization Server 唯一的客户端配置加载入口，完全覆盖上述所有能力，同时新增了客户端配置的持久化写入、更新能力，天然支持动态客户端管理场景

内置实现参考 #

官方预置了两个开箱即用的实现，可根据场景选择：

• InMemoryRegisteredClientRepository：基于内存的存储实现，仅适合本地调试、演示场景使用，生产环境不推荐
• JdbcRegisteredClientRepository：基于JDBC的关系型数据库存储实现，官方配套提供了标准表结构脚本，生产环境如果使用数据库存储客户端配置可直接复用，也可参考其逻辑对接现有持久层

自定义实现指引 #

如果需要对接自研的「Application Management」应用管理系统，直接实现RegisteredClientRepository接口即可，核心需要实现三个方法：

// 按主键ID查询客户端配置
RegisteredClient findById(String id);
// 按客户端ID查询客户端配置，完全对应旧接口ClientDetailsService#loadClientByClientId的逻辑
RegisteredClient findByClientId(String clientId);
// 保存/更新客户端配置，对接现有应用管理的新增、编辑客户端逻辑即可
void save(RegisteredClient registeredClient);

配置映射时，旧体系中ClientDetails存储的所有配置项，都可以通过RegisteredClient的Builder类完成一一映射，包括客户端密钥、授权类型、重定向地址、权限范围、令牌配置、客户端自定义属性等。

适配提示：旧体系中在ClientDetailsService层自定义的密钥校验、授权范围校验逻辑无需额外迁移，Spring Authorization Server 会自动读取RegisteredClient中携带的配置，走内置的校验流程，只需保证加载的配置字段和业务规则一致即可。

内容的提问来源于stack exchange，提问作者Eric Hovda