Java非Spring应用接入Okta登录401与JWT校验失败求助

1. 是否需要在代码中显式校验token #

需要。你当前是前后端分离的Java EE架构，没有Spring Security这类框架的自动鉴权拦截逻辑，后端接口必须显式校验前端传入的token合法性，包括签名有效性、签发主体、受众、过期时间等字段，避免未授权请求访问接口。

2. 如何获取合法token并完成校验 #

你当前报错的核心原因 #

你用来测试的token不符合标准JWT格式：标准JWT是header.payload.signature三段用点分隔的字符串，你传入的单段字符串本质不是access token，才会出现格式解析错误、无签名的报错。

正确配置与获取token的步骤 #

• 先确认Okta后台配置匹配：
  • 你代码中用的自定义授权服务器https://dev-xxxx.okta.com/oauth2/aus2ibr84krwxxxx，需要先在Okta后台确认该授权服务器的Audience配置与代码中setAudience的取值完全一致；如果用默认授权服务器，Audience固定为api://default，issuer固定为https://{你的Okta域名}/oauth2/default，不要填错其他格式的地址。
  • 确认你在Okta创建的SPA应用（对应你的UI服务）的回调地址、scope配置正确，scope必须包含openid，同时按需添加接口对应的权限scope。
• UI侧更换OIDC配置获取token：
  你原有UI是基于Redhat SSO的OIDC流程实现登录，只需要把原有SSO的配置替换为Okta的配置即可：issuer填你用的授权服务器地址、client_id填Okta SPA应用的Client ID、回调地址和后台配置保持一致。走完授权流程后，你会拿到id_token、access_token、refresh_token三个返回值，用来做接口鉴权的是access_token，该字符串为三段点分隔的标准JWT格式。

可运行的校验示例 #

首先ANT构建的项目需要将okta-jwt-verifier的官方jar包及依赖包放入项目lib目录，无需Maven即可使用。
接口层的校验逻辑参考：

import com.okta.jwt.AccessTokenVerifier;
import com.okta.jwt.Jwt;
import com.okta.jwt.JwtVerificationException;
import com.okta.jwt.JwtVerifiers;
import java.time.Duration;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

// 全局初始化一次Verifier即可，不要每次请求都创建
private AccessTokenVerifier initJwtVerifier() {
    return JwtVerifiers.accessTokenVerifierBuilder()
              .setIssuer("https://dev-xxxx.okta.com/oauth2/aus2ibr84krwxxxx") // 和你拿token的授权服务器地址完全一致
              .setAudience("testAudience") // 和授权服务器后台配置的Audience一致
              .setConnectionTimeout(Duration.ofSeconds(1))
              .setReadTimeout(Duration.ofSeconds(1))
              .build();
}

// 接口请求拦截时的校验逻辑
public String validateToken(HttpServletRequest request, HttpServletResponse response) {
    // 从请求头获取Authorization字段
    String authHeader = request.getHeader("Authorization");
    if (authHeader == null || !authHeader.startsWith("Bearer ")) {
        response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
        return null;
    }
    // 去掉Bearer前缀，拿到纯token
    String accessToken = authHeader.substring(7);
    try {
        Jwt jwt = jwtVerifier.decode(accessToken);
        // 校验通过，返回用户标识
        return (String) jwt.getClaims().get("uid");
    } catch (JwtVerificationException e) {
        log.error("token校验失败", e);
        response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
        return null;
    }
}

401问题排查点 #

如果校验还是返回401，按以下顺序排查：

1. 确认请求头的Authorization字段携带了完整的Bearer {access_token}内容，没有拼写错误
2. 确认授权服务器的issuer、audience配置和代码完全一致，issuer末尾不要加斜杠
3. 确认服务器本地时间和Okta服务器时间同步，否则会出现token过期校验失败
4. 确认token没有过期，且是当前授权服务器签发的有效access_token

内容的提问来源于stack exchange，提问作者AAPJ