基于SpringBoot2的OAuth2 refresh_token自动刷新方案咨询

问题结论 #

有更优的实现方式，不需要手动编写POST刷新请求，Spring Security OAuth2 Client原生支持AccessToken自动刷新能力，仅需少量改造即可实现。

推荐实现方案：利用Spring Security原生自动刷新能力 #

1. 客户端模块注册OAuth2AuthorizedClientManager Bean #

该组件内置了AccessToken有效性校验、自动触发refresh_token刷新流程的能力，无需手动封装HTTP请求。在你的Auth0Provider配置类中添加如下Bean注册逻辑：

@Bean
public OAuth2AuthorizedClientManager authorizedClientManager(
        ClientRegistrationRepository clientRegistrationRepository,
        OAuth2AuthorizedClientService authorizedClientService) {
    // 配置支持的授权模式，添加refreshToken支持
    OAuth2AuthorizedClientProvider authorizedClientProvider =
            OAuth2AuthorizedClientProviderBuilder.builder()
                    .authorizationCode()
                    .refreshToken()
                    .build();

    AuthorizedClientServiceOAuth2AuthorizedClientManager authorizedClientManager =
            new AuthorizedClientServiceOAuth2AuthorizedClientManager(
                    clientRegistrationRepository, authorizedClientService);
    authorizedClientManager.setAuthorizedClientProvider(authorizedClientProvider);
    return authorizedClientManager;
}

2. 改造控制器获取Token的逻辑 #

原有直接从OAuth2AuthorizedClientService加载客户端的逻辑不会自动刷新Token，替换为用上面注册的OAuth2AuthorizedClientManager获取，会自动处理过期刷新：

@Autowired
private OAuth2AuthorizedClientManager authorizedClientManager;

@RequestMapping(method = RequestMethod.GET, path = "/redirect")
public RedirectView redirectWithUsingRedirectView(OAuth2AuthenticationToken oauthToken, 
                                                  RedirectAttributes attributes,
                                                  HttpServletRequest request, 
                                                  HttpServletResponse response) {
    // 构造授权请求上下文
    OAuth2AuthorizeRequest authorizeRequest = OAuth2AuthorizeRequest
            .withClientRegistrationId(oauthToken.getAuthorizedClientRegistrationId())
            .principal(oauthToken)
            .attribute(HttpServletRequest.class.getName(), request)
            .attribute(HttpServletResponse.class.getName(), response)
            .build();
    
    // 自动判断Token是否过期，过期则自动调用refresh_token接口刷新
    OAuth2AuthorizedClient client = authorizedClientManager.authorize(authorizeRequest);
    String token = client.getAccessToken().getTokenValue();
    
    attributes.addAttribute("jwt", token);
    return new RedirectView(redirectURL);
}

3. 配置校验 #

不需要新增额外的spring.oauth2.*配置，只要你原有idm.properties里的如下配置正确即可：

• spring.security.oauth2.client.registration.<你的客户端ID>.client-id
• spring.security.oauth2.client.registration.<你的客户端ID>.client-secret
• spring.security.oauth2.client.provider.<你的服务商标识>.token-uri（即你之前手动调用的RefreshToken接口地址）

前端调用接口过期补充处理 #

如果前端拿到JWT后调用主应用/api/**接口时Token过期：

• 主应用会返回401 Unauthorized状态码，前端可拦截该状态码，跳转至客户端模块的/idmauth/redirect接口，触发上述自动刷新逻辑，拿到新Token后再跳转回业务页，全程用户无感知。
• 若Keycloak侧配置的RefreshToken也已过期，Spring Security会自动重定向到Keycloak登录页，走正常授权流程。

注意事项 #

• 需保证Keycloak客户端配置中开启了Standard Flow Enabled和Direct Access Grants Enabled，且RefreshToken的有效期配置长于AccessToken有效期。
• 该方案适配Spring Boot 2.2及以上版本，仅需依赖spring-boot-starter-oauth2-client即可，无需引入额外依赖。

内容的提问来源于stack exchange，提问作者CoderJammer