基于Spring Security验证WSO2 IS生成JWT的实现方案咨询

可行性结论 #

该方案完全可行。JWT校验本身是无状态逻辑，不需要后端持有用户凭证信息，仅需提前获取WSO2 IS用于签名JWT的公钥即可完成全量校验，无需本地存储任何用户账号、密码等身份数据。
校验核心只需验证三个维度即可确认令牌合法性：

• 令牌签名和WSO2 IS公钥匹配，确认是官方签发且未被篡改
• exp（过期时间）、nbf（生效时间）字段合法，令牌在有效期内
• iss（发行方）、aud（受众）字段符合预设配置，避免非预期签发方的令牌被滥用
  校验通过后可直接从JWT payload中提取dob、role等自定义claim用于后续数据库查询，无需额外调用WSO2接口或查询本地用户数据。

Spring Boot侧实现步骤 #

直接使用Spring Security自带的OAuth2 Resource Server依赖即可完成实现，无需手写JWT解析校验逻辑：

1. 引入依赖

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>

2. 配置application.yml，填入从WSO2 IS管理控制台导出的公钥、发行方信息

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          public-key-location: classpath:wso2-is-public-key.pem
          issuer-uri: https://<你的WSO2 IS服务域名>/oauth2/token

3. 编写安全配置类

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()));
        return http.build();
    }
}

4. 接口层直接提取claim使用

@GetMapping("/query-data")
public List<Data> queryData(@AuthenticationPrincipal Jwt jwt) {
    String dob = jwt.getClaimAsString("dob");
    String role = jwt.getClaimAsString("role");
    // 用上述参数执行数据库查询逻辑
    return dataService.queryByConditions(dob, role);
}

替代方案 #

如果业务要求支持令牌即时作废等强实时性校验场景，可以采用令牌自省（Token Introspection）模式：后端每次收到请求后调用WSO2 IS的令牌自省接口校验有效性，该模式同样不需要后端存储任何用户信息，仅需配置WSO2 IS自省接口地址和调用凭证即可，Spring Security OAuth2 Resource Server原生支持该模式。

内容的提问来源于stack exchange，提问作者Mike M. Kaspin