Spring OAuth2资源服务器：user-name-attribute未在SecurityContextHolder生效

这个问题我之前也碰到过，核心是你混淆了OAuth2客户端和资源服务器的配置边界——客户端的user-name-attribute配置根本不会影响资源服务器对JWT的解析逻辑，下面给你拆解原因和解决办法：

具体原因拆解 #

• 客户端配置的spring.security.oauth2.client.provider.my-oauth-provider.user-name-attribute=user_name，仅作用于客户端自身：当客户端通过授权码流程调用UserInfoEndpoint获取用户信息时，会用这个字段作为OAuth2User对象的用户名，但这个操作既不会修改JWT的内容，也不会把配置传递给资源服务器。
• 资源服务器解析JWT时，默认使用JwtAuthenticationConverter，它会把JWT中的sub声明作为Authentication对象的principal（也就是getName()返回的值），完全不受客户端配置的影响。

解决办法（资源服务器端配置） #

你需要在资源服务器这边调整JWT的解析规则，让它提取user_name声明作为用户名，有两种常见方式：

方式一：配置文件快速实现（Spring Boot 2.6+） #

如果你的项目用的是Spring Boot 2.6及以上版本，直接在资源服务器的配置文件里添加一行即可：

spring.security.oauth2.resourceserver.jwt.principal-claim-name=user_name

这个配置会自动替换默认的sub，让Authentication.getName()返回user_name的值。

方式二：自定义JwtAuthenticationConverter（兼容旧版本） #

如果你的Spring Boot版本较低，或者需要更灵活的自定义逻辑，可以手动配置转换器：

WebMvc资源服务器示例：

@Configuration
@EnableWebSecurity
public class ResourceServerConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(jwt -> jwt
                    .jwtAuthenticationConverter(customJwtConverter())
                )
            );
        return http.build();
    }

    private JwtAuthenticationConverter customJwtConverter() {
        JwtAuthenticationConverter converter = new JwtAuthenticationConverter();
        // 指定用user_name作为Authentication的principal
        converter.setPrincipalClaimName("user_name");
        return converter;
    }
}

WebFlux资源服务器示例：

@Configuration
@EnableWebFluxSecurity
public class ResourceServerConfig {

    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
        http
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(jwt -> jwt
                    .jwtAuthenticationConverter(customJwtConverter())
                )
            );
        return http.build();
    }

    private JwtAuthenticationConverter customJwtConverter() {
        JwtAuthenticationConverter converter = new JwtAuthenticationConverter();
        converter.setPrincipalClaimName("user_name");
        return converter;
    }
}

关于网关/客户端过滤器的疑问 #

完全没必要在网关或客户端添加额外过滤器——资源服务器是直接解析授权服务器颁发的JWT，客户端的过滤器无法修改JWT的内容（除非你自己在客户端生成自定义token，但这不符合OAuth2标准流程）。所有调整都应该在资源服务器端完成。

额外验证步骤 #

最后建议你先用jwt.io工具解析一下客户端发送给资源服务器的Bearer Token，确认payload里确实包含user_name声明。如果JWT本身就没有这个字段，那不管怎么配置都拿不到对应值。

内容的提问来源于stack exchange，提问作者m52509791