如何基于Spring Security实现Google OAuth2登录的增量授权？

当然可以实现！增量授权的核心就是让用户登录时只授权基础权限，当访问需要额外权限的特定端点时，再引导用户授权对应的scope（比如Gmail读取、日历读取）。下面结合你的现有配置，给出具体的实现方案：

1. 基础配置调整 #

先确保你的application.properties（或yml）里的Google客户端配置只保留基础身份信息scope，不用一次性加全所有权限：

spring.security.oauth2.client.registration.google.client-id=你的客户端ID
spring.security.oauth2.client.registration.google.client-secret=你的客户端密钥
spring.security.oauth2.client.registration.google.scope=openid,email,profile # 仅基础身份信息scope
spring.security.oauth2.client.provider.google.authorization-uri=https://accounts.google.com/o/oauth2/v2/auth
spring.security.oauth2.client.provider.google.token-uri=https://oauth2.googleapis.com/token

你的现有SecurityConfig和MethodSecurityConfiguration可以保留，接下来针对增量授权做扩展。

2. 核心逻辑：检查权限并引导增量授权 #

当用户访问需要额外scope的端点时，我们需要先判断当前用户的access token是否包含所需权限，若没有则跳转到Google授权页面让用户同意新增权限。

方式一：控制器内直接处理（直观易上手） #

注入OAuth2AuthorizedClientService获取当前用户的授权客户端信息，在端点内做权限判断：

@Controller
public class GmailController {
    @Autowired
    private OAuth2AuthorizedClientService authorizedClientService;

    @GetMapping("/gmail/read")
    public String readGmail(Authentication authentication, HttpServletRequest request) {
        // 加载当前用户的Google授权客户端
        OAuth2AuthorizedClient googleClient = authorizedClientService.loadAuthorizedClient(
                "google", authentication.getName()
        );

        // 检查是否已拥有Gmail只读权限（注意使用完整的scope URI）
        boolean hasGmailScope = googleClient.getAccessToken().getScopes()
                .contains("https://www.googleapis.com/auth/gmail.readonly");

        if (!hasGmailScope) {
            // 构建增量授权请求
            OAuth2AuthorizationRequest authRequest = OAuth2AuthorizationRequest.authorizationCode()
                    .clientId(googleClient.getClientRegistration().getClientId())
                    .authorizationUri(googleClient.getClientRegistration().getProviderDetails().getAuthorizationUri())
                    .redirectUri("你的应用回调URI") // 需与Google控制台配置一致
                    .scopes(Set.of("https://www.googleapis.com/auth/gmail.readonly"))
                    .state(UUID.randomUUID().toString()) // 防CSRF的state值
                    .build();

            // 将授权请求存入Session，方便回调时Spring Security自动处理
            request.getSession().setAttribute(
                    OAuth2AuthorizationRequestRedirectFilter.AUTHORIZATION_REQUEST_ATTR_NAME,
                    authRequest
            );

            // 重定向到Google授权页面
            return "redirect:" + authRequest.getAuthorizationRequestUri();
        }

        // 此处编写Gmail读取业务逻辑
        return "gmail-content";
    }
}

方式二：结合@PreAuthorize实现优雅权限控制 #

如果想用注解统一管理权限，可以自定义方法安全表达式，避免在每个控制器重复写判断逻辑：

首先，自定义表达式根和处理器：

// 自定义表达式根，添加检查Google scope的方法
public class CustomOAuth2ExpressionRoot extends OAuth2MethodSecurityExpressionRoot {
    private final OAuth2AuthorizedClientService authorizedClientService;

    public CustomOAuth2ExpressionRoot(Authentication auth, OAuth2AuthorizedClientService service) {
        super(auth);
        this.authorizedClientService = service;
    }

    // 自定义表达式：检查是否拥有指定的Google scope
    public boolean hasGoogleScope(String scope) {
        OAuth2AuthorizedClient client = authorizedClientService.loadAuthorizedClient(
                "google", this.authentication.getName()
        );
        return client != null && client.getAccessToken().getScopes()
                .contains("https://www.googleapis.com/auth/" + scope);
    }
}

// 自定义表达式处理器
public class CustomOAuth2MethodSecurityHandler extends OAuth2MethodSecurityExpressionHandler {
    private final OAuth2AuthorizedClientService authorizedClientService;

    public CustomOAuth2MethodSecurityHandler(OAuth2AuthorizedClientService service) {
        this.authorizedClientService = service;
    }

    @Override
    protected MethodSecurityExpressionOperations createSecurityExpressionRoot(Authentication auth, MethodInvocation invocation) {
        CustomOAuth2ExpressionRoot root = new CustomOAuth2ExpressionRoot(auth, authorizedClientService);
        root.setPermissionEvaluator(getPermissionEvaluator());
        root.setTrustResolver(getTrustResolver());
        root.setRoleHierarchy(getRoleHierarchy());
        return root;
    }
}

然后修改你的MethodSecurityConfiguration，使用自定义处理器：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class MethodSecurityConfiguration extends GlobalMethodSecurityConfiguration {
    @Autowired
    private OAuth2AuthorizedClientService authorizedClientService;

    @Override
    protected MethodSecurityExpressionHandler createExpressionHandler() {
        return new CustomOAuth2MethodSecurityHandler(authorizedClientService);
    }
}

现在就可以在控制器方法上直接使用@PreAuthorize了：

@PreAuthorize("hasGoogleScope('gmail.readonly')")
@GetMapping("/gmail/read")
public String readGmail() {
    // 业务逻辑代码
    return "gmail-content";
}

需要注意的是，用户权限不足时会抛出AccessDeniedException，需全局捕获该异常并引导授权：

@ControllerAdvice
public class AccessDeniedExceptionHandler {
    @ExceptionHandler(AccessDeniedException.class)
    public String handleAccessDenied(Authentication authentication, HttpServletRequest request) {
        // 仅处理Google OAuth用户的权限不足情况
        if (authentication instanceof OAuth2AuthenticationToken token && "google".equals(token.getAuthorizedClientRegistrationId())) {
            // 示例中固定使用Gmail只读scope，实际可根据请求路径或异常信息动态推断
            OAuth2AuthorizationRequest authRequest = OAuth2AuthorizationRequest.authorizationCode()
                    .clientId(token.getAuthorizedClientRegistration().getClientId())
                    .authorizationUri(token.getAuthorizedClientRegistration().getProviderDetails().getAuthorizationUri())
                    .redirectUri("你的回调URI")
                    .scopes(Set.of("https://www.googleapis.com/auth/gmail.readonly"))
                    .state(UUID.randomUUID().toString())
                    .build();

            request.getSession().setAttribute(
                    OAuth2AuthorizationRequestRedirectFilter.AUTHORIZATION_REQUEST_ATTR_NAME,
                    authRequest
            );
            return "redirect:" + authRequest.getAuthorizationRequestUri();
        }
        return "access-denied"; // 其他情况返回权限不足页面
    }
}

3. 回调处理（自动完成） #

用户在Google页面同意授权后，会重定向回你的应用，Spring Security的OAuth2LoginAuthenticationFilter会自动处理回调，更新用户的access token和refresh token，将新增的scope包含进去。之后用户再访问该端点时，就会拥有对应的权限了。

关键注意事项 #

• Google控制台配置：确保客户端ID配置了正确的重定向URI，增量授权的回调URI与基础登录的一致即可。
• 完整Scope URI：Google API的scope必须使用完整URI，比如https://www.googleapis.com/auth/gmail.readonly，不能简写为gmail.readonly。
• Refresh Token：如果应用请求了offline_access scope，Google会返回refresh token，后续用refresh token刷新access token时，会自动包含所有已授权的scope。

内容的提问来源于stack exchange，提问作者Tamanjit Bindra