Spring Security 5.2.x 外部JWT解析@RegisteredOAuth2AuthorizedClient

• 开箱即用的Spring Security机制下，默认不支持直接将Authorization请求头传入的外部JWT，解析为@RegisteredOAuth2AuthorizedClient修饰的OAuth2AuthorizedClient入参，但可以通过定制扩展实现这个能力。
• 你遇到的重定向跳转问题，本质是两套独立安全流程的链路没有打通：资源服务器的JWT认证流程只负责校验传入令牌的合法性，不会将这个令牌写入OAuth2AuthorizedClientService的默认存储，导致注解解析逻辑查询不到匹配数据，触发默认的未登录重定向。

• @RegisteredOAuth2AuthorizedClient的入参解析由RegisteredOAuth2AuthorizedClientArgumentResolver类负责，核心查询规则完全依赖OAuth2AuthorizedClientService接口。
• OAuth2AuthorizedClientService的默认实现是InMemoryOAuth2AuthorizedClientService，存储的是当前服务作为OAuth客户端，主动通过授权码模式、客户端模式等流程，从认证服务器换取后留存的令牌数据。
• 你的业务场景中，通过Authorization头传入的外部JWT，仅作为资源服务器侧的用户身份凭证存在，从未经过当前服务的客户端令牌换取流程，自然不会被写入上述内存存储，查询结果必然为空。

• 自定义实现OAuth2AuthorizedClientService接口，重写loadAuthorizedClient方法
  • 在方法中优先获取当前请求上下文里，已经从Authorization头解析完成的JWT认证对象
  • 当匹配到注解指定的"custom"客户端ID时，直接将当前请求携带的JWT封装为标准的OAuth2AuthorizedClient对象返回，跳过默认的存储查询逻辑
• 提前配置客户端元数据
  • 在ClientRegistrationRepository中提前注册ID为"custom"的客户端配置项，即使该客户端不需要走实际的令牌换取流程，也要保证元数据存在，避免解析时因为找不到客户端注册信息抛错
• 调整异常拦截规则
  • 修改安全配置中针对@RegisteredOAuth2AuthorizedClient解析失败的处理逻辑，不要触发默认的重定向登录流程，对外部JWT合法的场景直接走自定义的封装分支即可

• 这种实现本质是复用了@RegisteredOAuth2AuthorizedClient的入参接口能力，绕过了原有的客户端令牌本地存储流程，非常适合你已经持有外部JWT、不需要当前服务重复发起令牌换取的业务场景
• 不要混淆Spring的两种角色能力：资源服务器角色负责校验外部传入JWT的合法性，OAuth客户端角色负责主动向认证服务器发起令牌换取并本地留存，定制逻辑只是让两种场景下的令牌对象可以共用同一个控制器入参，没有修改Spring的默认安全校验规则。

内容的提问来源于stack exchange，提问作者pgollangi