实现OAuth 2.0资源服务器多租户时遇到JwtDecoder缺失及配置疑问

1 初始启动报错的根源 #

你之前启动时抛出NoSuchBeanDefinitionException: No qualifying bean of type 'JwtDecoder' available的原因是：当你同时配置.oauth2ResourceServer().jwt()时，Spring Security的自动装配逻辑会强制从Spring容器中查找JwtDecoder类型的Bean完成初始化。但多租户场景下使用JwtIssuerAuthenticationManagerResolver时，JwtDecoder是请求到达时根据对应issuer懒加载的，不会提前注册到容器中，两者产生了冲突，你注释掉.jwt()相关配置后冲突消除，所以启动正常。
Spring Security官方文档提到的懒加载逻辑是完全正确的，你的配置错误点就是同时保留了.jwt()的配置触发了自动装配的JwtDecoder查找逻辑。

2 自定义JWT转换器的实现方式 #

你现在使用的JwtIssuerAuthenticationManagerResolver的数组构造器是Spring提供的快捷实现，内部会为每个issuer自动生成默认的JwtAuthenticationProvider，使用的是默认的JwtAuthenticationConverter，如果你需要自定义转换器，需要自己实现每个租户的AuthenticationManager构造逻辑，步骤如下：

• 首先实现单租户AuthenticationManager的构造方法，注入自定义的转换器：

private AuthenticationManager buildTenantAuthenticationManager(String issuer) {
    // 构造对应issuer的JwtDecoder，可自定义校验规则、时钟偏移等
    JwtDecoder jwtDecoder = JwtDecoders.fromOidcIssuerLocation(issuer);
    JwtAuthenticationProvider authProvider = new JwtAuthenticationProvider(jwtDecoder);
    // 注入你自己的jwtAccessTokenConverter
    authProvider.setJwtAuthenticationConverter(jwtAccessTokenConverter);
    return authProvider::authenticate;
}

• 然后使用接收自定义Resolver的构造器创建JwtIssuerAuthenticationManagerResolver：

JwtIssuerAuthenticationManagerResolver jwtIssuerAuthenticationManagerResolver =
    new JwtIssuerAuthenticationManagerResolver(this::buildTenantAuthenticationManager);

3 自定义AuthenticationManagerResolver的适用场景 #

你现在使用的数组构造器已经能满足基础的多租户JWT校验需求，不需要额外配置，只有当你有以下自定义需求时才需要使用传入自定义Resolver的构造器：

• 需要自定义JwtDecoder的配置，比如添加自定义claim校验、设置令牌过期的容忍时钟偏移
• 需要自定义JWT到认证信息的转换逻辑，比如自定义权限映射规则、提取自定义claim放入认证上下文、自定义用户名提取规则
• 需要为不同租户添加差异化的认证校验逻辑

4 默认Jwt转换器的能力 #

默认的JwtAuthenticationConverter仅提供基础转换能力：

• 提取JWT的sub声明作为认证主体（Principal）
• 读取scope或scp声明作为权限集合，每个权限自动添加SCOPE_前缀
• 原始JWT对象作为认证凭证（Credentials）

如果上述能力完全匹配你的业务需求，不需要额外自定义，当前的代码就可以正常运行。

内容的提问来源于stack exchange，提问作者Keith Bennett