Spring Boot 2.5.4 配置支持多个Auth0 issuer-uri实现多租户JWT校验

步骤1：修改配置文件，将单issuer改为数组 #

将原配置里的单个issuer-uri改为数组格式，示例如下：

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          # 配置所有Auth0租户的issuer地址
          issuer-uris: 
            - https://租户1的域.us.auth0.com/
            - https://租户2的域.us.auth0.com/
auth0:
  audience: 你的服务audience值

步骤2：修改SecurityConfig配置类 #

调整注入字段 #

将原单issuer字段改为List类型接收多租户配置：

@Value("${auth0.audience}")
private String audience;

// 接收多issuer配置
@Value("${spring.security.oauth2.resourceserver.jwt.issuer-uris}")
private List<String> issuers;

重写JwtDecoder实现路由逻辑 #

替换原有单issuer的JwtDecoder，实现按JWT中的iss字段路由到对应租户的解码器：

@Bean
JwtDecoder jwtDecoder() {
    // 预创建所有租户的解码器并缓存，避免重复拉取JWKS
    Map<String, JwtDecoder> decoderCache = issuers.stream()
            .collect(Collectors.toMap(
                    issuer -> issuer,
                    issuer -> {
                        NimbusJwtDecoder decoder = (NimbusJwtDecoder) JwtDecoders.fromOidcIssuerLocation(issuer);
                        // 保留原有校验逻辑：iss校验 + audience校验
                        OAuth2TokenValidator<Jwt> audienceValidator = new AudienceValidator(audience);
                        OAuth2TokenValidator<Jwt> withIssuer = JwtValidators.createDefaultWithIssuer(issuer);
                        OAuth2TokenValidator<Jwt> withAudience = new DelegatingOAuth2TokenValidator<>(withIssuer, audienceValidator);
                        decoder.setJwtValidator(withAudience);
                        return decoder;
                    }
            ));

    // 自定义路由逻辑
    return token -> {
        // 先解析JWT未验签内容获取issuer
        String issuer;
        try {
            SignedJWT signedJWT = SignedJWT.parse(token);
            issuer = signedJWT.getJWTClaimsSet().getIssuer();
        } catch (ParseException e) {
            throw new BadJwtException("无效的JWT格式");
        }
        JwtDecoder matchedDecoder = decoderCache.get(issuer);
        if (matchedDecoder == null) {
            throw new BadJwtException("不被信任的JWT签发方：" + issuer);
        }
        // 用对应租户的解码器执行完整验签、claim校验
        return matchedDecoder.decode(token);
    };
}

原有configure(HttpSecurity http)逻辑无需修改，依赖已满足要求，不需要新增额外依赖。

注意事项 #

• 配置中的issuer地址必须和Auth0实际签发的JWT中iss字段完全一致，注意末尾斜杠不要漏写或多写
• 如果不同租户的audience不同，可以自行扩展AudienceValidator支持多audience校验
• 解码器会在服务启动时初始化并缓存JWKS配置，运行时无额外性能损耗

内容的提问来源于stack exchange，提问作者MetaCoder