能否在OAuth客户端应用中控制用户访问？基于Spring技术栈的方案咨询

方案1：OAuth登录回调阶段前置白名单校验（优先推荐，无额外依赖） #

这个方案可以在用户首次登录、本地账户还未创建的阶段就完成权限拦截，完全规避你提到的现有方案的问题，适配所有仅做认证的OAuth提供商：

• 你可以在本地提前维护一张允许访问应用的用户白名单表，存储允许访问的用户唯一标识（比如OAuth提供商返回的用户ID、邮箱、用户名均可）
• 基于JHipster自带的Spring Security OAuth2 Client组件，自定义OidcUserService实现类，重写loadUser方法：
  1. 方法内先获取OAuth提供商返回的用户身份信息，提取对应用户唯一标识
  2. 查询本地白名单表确认该用户是否在允许访问范围内
  3. 不在白名单内直接抛出OAuth2AuthenticationException，终止登录流程，返回无权限提示
  4. 白名单内的用户再走后续的本地账户生成、角色赋予等常规逻辑

方案2：Token自定义Claim校验（依赖OAuth提供商配合） #

如果可以和OAuth提供方协商调整返回的Token内容，可以用这个更轻量化的方案：

• 让OAuth提供商在返回的ID Token/Access Token中新增自定义Claim，比如permitted_client_ids，存储该用户允许访问的所有OAuth客户端ID列表
• 你在客户端的Token校验逻辑中新增校验规则：检查当前应用的客户端ID是否在permitted_client_ids列表内，不存在则直接拒绝登录，无需存储本地白名单。

现有自定义角色方案的补全优化 #

如果你仍想沿用原有的角色管控逻辑，可以新增首次登录默认权限规则：用户首次登录创建本地账户时，默认赋予无访问权限的基础角色，仅在管理员手动授权后才更新为可访问角色，避免未授权用户登录后直接获得访问权限。

内容的提问来源于stack exchange，提问作者vic