Spring Boot自定义OAuth2授权服务器授权流选型及密码修改实现咨询

1. 自研全链路场景下使用Password授权模式的风险 #

你最终选择Authorization Code + PKCE流的决策完全正确，即便是授权服务器、客户端都是你自行开发的内部场景，Password授权模式仍然存在不可忽视的风险：

• 凭证泄露概率大幅提升：SPA运行在用户侧浏览器环境，所有逻辑可被调试、也可能被恶意浏览器插件、XSS攻击窃取数据，用户在SPA输入的明文密码会经过前端运行时的全链路，哪怕你自己做的客户端也无法完全规避该风险，违背了OAuth2「客户端不接触用户核心凭证」的设计原则。
• 后续维护成本极高：OAuth 2.1标准已经正式移除了Password授权模式，当前主流的OAuth2开源实现、安全审计规则都已经在逐步淘汰对该模式的支持，现在强行使用后续升级、对接新能力都会遇到阻碍。
• 安全能力复用性差：授权服务器原生支持的多因子认证、异地登录拦截、登录日志审计等通用安全能力，用Password模式的话都需要你在客户端额外重新实现，反而会增加额外开发量。

2. 预置账号与密码修改的实现方案 #

• 可以直接在数据库初始化时插入预置账号，必须注意存储的是加盐哈希后的密码，绝对不能存储明文密码，即便是内部团队使用该安全要求也不能省略。
• 密码修改功能完全不需要让SPA接触用户的新凭证，正确的实现逻辑如下：
  • 不要在SPA内开发密码修改表单，你可以直接在授权服务器的页面体系中新增修改密码功能，入口可以放在用户在授权服务器登录成功后的个人中心页，也可以在SPA放置跳转按钮，直接跳转至授权服务器域名下的修改密码页，用户在授权服务器的域名下输入新旧密码提交即可，整个过程密码不会流入SPA的运行上下文，完全符合OAuth2的设计要求。
  • 如果希望用户在SPA内就能感知到修改密码的入口，也可以做轻量衔接：SPA携带有效的Access Token调用授权服务器的一次性跳转凭证接口，拿到有效期极短的修改密码跳转令牌后再跳转到授权服务器的修改密码页，授权服务器校验令牌合法后展示表单，提交完成后自动跳转回SPA即可。
  • 绝对不要在SPA内提供密码输入表单再调用授权服务器的更新接口，该方案确实会让SPA获取到用户的明文新密码，违背OAuth2的核心设计目标。

内容的提问来源于stack exchange，提问作者SOXnSKINS