okta-spring-boot 2.1.1缺失ImplicitAudienceValidatingTokenServices如何配置？

Okta Spring Boot Starter 2.x版本已完全适配Spring Security 5+的原生OAuth2资源服务器能力，移除了旧版本自定义的ImplicitAudienceValidatingTokenServices和ResourceServerConfig类。你遇到的空DefaultTokenServices问题是因为仍在使用旧版Spring Security OAuth2遗留模块的@EnableResourceServer注解，2.x版本不再为该遗留模块提供自动配置，导致加载了默认的空实现。

你不需要额外自定义TokenServices，按如下步骤配置即可实现和旧版本完全一致的本地校验+audience校验能力，无需远程调用Okta接口：

• 第一步：删除代码中的@EnableResourceServer注解，该注解属于已停止维护的Spring Security OAuth2遗留模块，2.x版本无需使用。
• 第二步：在application.yml/application.properties中添加如下配置：

okta:
  oauth2:
    # 替换为你的Okta发行方地址，和旧版本配置保持一致即可
    issuer: https://<你的Okta域名>/oauth2/default
    # 替换为你的资源服务audience值，多个用逗号分隔，框架会自动校验JWT的aud字段
    audience: <你的audience配置>
spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: ${okta.oauth2.issuer}

• 第三步：（可选）如果项目依赖中包含旧的spring-security-oauth2包，建议排除避免逻辑冲突，Maven配置参考：

<dependency>
    <groupId>com.okta.spring</groupId>
    <artifactId>okta-spring-boot-starter</artifactId>
    <version>2.1.1</version>
    <exclusions>
        <exclusion>
            <groupId>org.springframework.security.oauth</groupId>
            <artifactId>spring-security-oauth2</artifactId>
        </exclusion>
    </exclusions>
</dependency>

• 第四步：如果需要自定义接口权限规则，使用Spring Security 5标准的SecurityFilterChain配置即可，示例如下：

@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                // 自定义放行规则
                .requestMatchers("/public/**").permitAll()
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()));
        return http.build();
    }
}

以上配置完成后，框架会自动从配置的issuer地址拉取JWT公钥，本地完成签名校验、过期校验、audience校验，完全匹配旧版本的功能逻辑。

内容的提问来源于stack exchange，提问作者JvmSd121