运行时懒初始化Spring Security及动态重载安全配置咨询

核心思路 #

你遇到的核心矛盾是Spring Security过滤器链启动初始化和动态配置的耦合，我们不需要强行修改过滤器链的初始化时机，只需要把可变的JWT解码逻辑抽离为独立的动态组件，就可以同时解决懒加载初始化和运行时刷新配置两个需求，实现成本极低且稳定性高。

具体实现步骤 #

1. 改造Security配置类 #

去掉jwkSetUri的硬编码调用，改为注入自定义的动态JWT解码器，这样Spring Security启动时不需要读取数据库配置，可以正常完成过滤器链的初始化：

@Configuration
@EnableWebSecurity
public class ResourceServerConfiguration extends WebSecurityConfigurerAdapter {
    
    @Autowired
    private OAuth2AuthenticationEntryPoint oAuth2AuthenticationEntryPoint;
    @Autowired
    private OAuth2AccessDeniedHandler oAuth2AccessDeniedHandler;
    
    // 注入自定义动态JWT解码器
    @Bean
    public CustomDynamicJwtDecoder dynamicJwtDecoder() {
        return new CustomDynamicJwtDecoder();
    }

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.cors()
                .and()
                .csrf().disable()
                .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS).and()
                .authorizeRequests()
                .anyRequest().authenticated()
                .and()
                .oauth2ResourceServer()
                .authenticationEntryPoint(oAuth2AuthenticationEntryPoint)
                .accessDeniedHandler(oAuth2AccessDeniedHandler)
                .jwt()
                .decoder(dynamicJwtDecoder()); // 替换为自定义解码器
    }
}

2. 实现支持懒加载和刷新的动态JWT解码器 #

实现JwtDecoder接口，内部持有实际的解码器实例，首次调用时懒加载初始化，提供刷新方法清空旧实例，下次调用自动用最新配置重建：

@Component
public class CustomDynamicJwtDecoder implements JwtDecoder {
    // 持有实际的JwtDecoder实例，volatile保证并发场景下的可见性
    private volatile JwtDecoder delegateDecoder;
    @Autowired
    private SsoConfigService ssoConfigService;

    @Override
    public Jwt decode(String token) throws JwtException {
        // 双重检查锁保证并发安全，避免重复构建实例
        if (delegateDecoder == null) {
            synchronized (this) {
                if (delegateDecoder == null) {
                    delegateDecoder = buildNewDecoder();
                }
            }
        }
        return delegateDecoder.decode(token);
    }

    /**
     * 外部调用此方法刷新配置
     */
    public void refresh() {
        this.delegateDecoder = null;
    }

    /**
     * 从数据库读取最新配置构建解码器
     */
    private JwtDecoder buildNewDecoder() {
        String jwkSetUri = ssoConfigService.getActiveSSOCertificateURL();
        if (jwkSetUri == null || jwkSetUri.trim().isEmpty()) {
            throw new IllegalStateException("SSO配置未录入，请先配置JWK地址");
        }
        return NimbusJwtDecoder.withJwkSetUri(jwkSetUri).build();
    }
}

3. 配置修改后触发刷新 #

在管理员修改SSO配置的接口中，调用refresh方法清空旧的解码器实例即可，无需重启应用，下次请求解码JWT时会自动用新的JWK地址拉取公钥生效：

@RestController
@RequestMapping("/admin/sso-config")
public class SsoConfigController {
    @Autowired
    private SsoConfigService ssoConfigService;
    @Autowired
    private CustomDynamicJwtDecoder dynamicJwtDecoder;

    // 修改配置接口
    @PostMapping("/update")
    public Result updateConfig(@RequestBody SsoConfigDTO configDTO) {
        // 保存新配置到数据库
        ssoConfigService.updateConfig(configDTO);
        // 触发解码器刷新
        dynamicJwtDecoder.refresh();
        return Result.success();
    }

    // 可选：主动初始化接口，管理员录入配置后手动触发，无需等待用户首次请求
    @PostMapping("/init")
    public Result initConfig() {
        dynamicJwtDecoder.refresh();
        return Result.success();
    }
}

方案优势 #

• 完全适配懒加载需求：应用启动阶段不会读取数据库配置，只有首次收到需要认证的请求时才会懒加载构建解码器，也支持管理员主动触发初始化
• 刷新成本极低：仅清空旧实例即可生效，不需要重建整个过滤器链，无性能损耗
• 并发安全：双重检查锁机制避免并发场景下重复构建实例
• 兼容性高：不需要修改Spring Security原生的初始化逻辑，适配所有Spring Security 5.x+版本

进阶场景说明 #

如果你的需求不止是刷新JWK地址，还需要修改接口权限规则、跨域配置等整个安全链的规则，才需要手动重建SecurityFilterChain：

1. 取消原有配置类的@Configuration注解，改为普通配置构建类
2. 手动通过HttpSecurity的builder模式构建新的SecurityFilterChain实例
3. 替换FilterChainProxy中持有的过滤器链列表即可

普通业务场景下不需要用到该进阶方案，上述动态解码器方案已经可以覆盖90%以上的OAuth资源服务动态配置需求。

内容的提问来源于stack exchange，提问作者ARods