如何在Spring Boot中间件验证SAP Hybris生成的OAuth2.0令牌

没问题，我来给你梳理下怎么在Spring Boot中间件里配置OAuth 2.0令牌验证，适配Hybris生成令牌的场景：

首先得把Spring Security OAuth2资源服务器的依赖引入项目，这是实现令牌验证的核心。如果用Maven，在pom.xml里加：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

Gradle用户则在build.gradle里加：

implementation 'org.springframework.boot:spring-boot-starter-oauth2-resource-server'
implementation 'org.springframework.boot:spring-boot-starter-security'

根据Hybris生成的令牌类型（JWT或不透明令牌），选择对应的配置方式：

情况1：Hybris生成JWT令牌 #

JWT令牌可以本地验证，不需要调用Hybris接口，只要拿到Hybris的公钥或JWKS端点即可。在application.yml里配置：

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          # 优先用JWKS端点，Hybris一般会提供这个URL（比如/authorizationserver/oauth2/jwks）
          jwk-set-uri: "http://your-hybris-server:port/authorizationserver/oauth2/jwks"
          # 如果Hybris没提供JWKS，也可以直接配置公钥文件路径
          # public-key: classpath:hybris-public-key.pem
          # 可选：指定令牌的发行方（issuer），确保和Hybris生成令牌时的iss一致
          # issuer-uri: "http://your-hybris-server:port/authorizationserver"

情况2：Hybris生成不透明(Opaque)令牌 #

不透明令牌需要调用Hybris的令牌 introspection 接口验证有效性，配置如下：

spring:
  security:
    oauth2:
      resourceserver:
        opaque-token:
          # Hybris的令牌 introspection 端点（一般是/authorizationserver/oauth2/introspect）
          introspection-uri: "http://your-hybris-server:port/authorizationserver/oauth2/introspect"
          # 你在Hybris创建的OAuth Client的ID和密钥
          client-id: "your-hybris-oauth-client-id"
          client-secret: "your-hybris-oauth-client-secret"

创建一个Security配置类，定义哪些端点需要保护，以及启用OAuth2资源服务器验证：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class OAuth2ResourceServerConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            // 禁用CSRF（因为是服务器间的API调用，不需要）
            .csrf(csrf -> csrf.disable())
            // 配置请求授权规则
            .authorizeHttpRequests(auth -> auth
                // 保护所有中间件API端点，只允许携带有效令牌的请求访问
                .anyRequest().authenticated()
                // 如果有不需要验证的端点，可以加在这里，比如：
                // .requestMatchers("/public/**").permitAll()
            )
            // 启用OAuth2资源服务器验证
            .oauth2ResourceServer(oauth2 -> {
                // 根据令牌类型选择：JWT则用jwt()，不透明令牌则用opaqueToken()
                oauth2.jwt(jwt -> jwt
                    // 可选：自定义令牌转换逻辑，比如从JWT的claim里提取权限信息
                    // .jwtAuthenticationConverter(customJwtAuthenticationConverter())
                );
                // 如果是不透明令牌，替换成下面这行：
                // oauth2.opaqueToken();
            });
        return http.build();
    }

    // 可选：自定义JWT转换器示例
    /*
    private JwtAuthenticationConverter customJwtAuthenticationConverter() {
        JwtAuthenticationConverter converter = new JwtAuthenticationConverter();
        converter.setJwtGrantedAuthoritiesConverter(jwt -> {
            // 从JWT的某个claim里提取权限，比如"scope"或"authorities"
            List<String> authorities = jwt.getClaimAsStringList("scope");
            return authorities.stream()
                .map(SimpleGrantedAuthority::new)
                .collect(Collectors.toList());
        });
        return converter;
    }
    */
}

如果需要额外验证令牌的特定信息（比如校验client_id是否是你在Hybris创建的那个，或者检查令牌的受众aud），可以自定义JwtDecoder（针对JWT令牌）：

import org.springframework.security.oauth2.jwt.JwtDecoder;
import org.springframework.security.oauth2.jwt.NimbusJwtDecoder;
import org.springframework.security.oauth2.core.OAuth2AuthenticationException;
import org.springframework.security.oauth2.core.OAuth2Error;

@Bean
public JwtDecoder jwtDecoder() {
    NimbusJwtDecoder decoder = NimbusJwtDecoder.withJwkSetUri("http://your-hybris-server:port/authorizationserver/oauth2/jwks").build();
    decoder.setJwtValidator(jwt -> {
        // 自定义验证逻辑，比如检查client_id
        String clientId = jwt.getClaimAsString("client_id");
        if (!"your-hybris-oauth-client-id".equals(clientId)) {
            throw new OAuth2AuthenticationException(new OAuth2Error("invalid_client", "Invalid client ID", null));
        }
        // 还可以检查issuer、expiration等
        return jwt;
    });
    return decoder;
}

用curl命令模拟Hybris的API调用，携带从Hybris获取的有效令牌：

curl -H "Authorization: Bearer <your-hybris-access-token>" http://your-middleware-server:port/api/your-protected-endpoint

• 如果令牌有效，会返回正常的API响应；
• 如果令牌无效、过期或未携带，会返回401 Unauthorized，中间件会拒绝请求。

内容的提问来源于stack exchange，提问作者Anish Barot