Spring Boot中security.oauth2.*下resource与client配置的区别及用途

security.oauth2.client 相关配置的作用 #

这套配置属于旧版Spring Security OAuth体系的标准配置项，核心是对应应用作为OAuth2客户端角色时的全流程参数配置，对应你当前配置的每一项作用：

• client-id：当前应用在Keycloak认证服务器上注册的客户端唯一身份标识，必须和Keycloak中创建的客户端ID完全匹配
• client-secret：对应客户端在Keycloak中配置的身份校验密钥，用来向认证服务器证明当前应用的合法性，防止恶意伪造的应用发起认证请求
• user-authorization-uri：授权码模式下，引导终端用户跳转到认证服务器完成登录授权的跳转端点。你当前使用的是client_credentials授权模式，实际流程中不会触发该端点调用，属于客户端配置的默认全量属性
• access-token-uri：当前应用主动向认证服务器申请获取访问令牌（access token）的核心接口地址，所有授权模式下的令牌获取请求都会指向这个端点
• scope：申请令牌时主动声明的权限范围，设置openid是OpenID Connect协议要求的基础声明，代表需要获取对应的身份认证信息
• grant-type：当前应用默认使用的令牌申请授权模式，你配置的client_credentials是纯服务间调用模式，不需要终端用户参与登录流程，直接凭客户端身份换取服务访问权限

额外说明：这套配置里的client-id和client-secret，还会被资源服务器的远程校验逻辑复用——如果要调用认证服务器的令牌内省接口，必须携带这组凭证做身份认证，否则认证服务器会直接拒绝未授权的校验请求。

security.oauth2.resource 相关配置的作用 #

这套配置核心是对应应用作为OAuth2资源服务器角色时，对外部请求携带访问令牌的合法性校验逻辑参数，对应你当前配置的每一项作用：

• rest.security.issuer-uri：你自定义的公共配置项，本质是Keycloak中dev realm的令牌发行者根地址，后续所有OIDC协议相关的端点都会基于这个地址拼接生成
• resource.id：当前资源服务器的唯一身份标识，会和访问令牌中的受众（aud）字段做匹配校验，防止合法的令牌被其他不相关的服务盗用
• token-info-uri：不透明令牌的内省校验端点，当应用收到没有自包含信息的不透明token时，会带着自身的客户端凭证调用这个接口，向Keycloak确认这个token是否有效、是否过期、对应的权限范围是什么
• user-info-uri：拿到有效令牌之后，调用OpenID Connect协议的标准用户信息端点，拉取当前令牌对应用户的详细身份信息（如用户名、邮箱、所属角色）的接口地址
• jwt.key-value：JWT格式令牌的本地校验公钥，当请求携带的是自签名的JWT令牌时，应用不需要调用远程接口，直接用这个公钥在本地完成JWT签名合法性校验，确认令牌是否被篡改、是否过期，相比远程内省的性能开销更低。你当前同时配置了JWT公钥和远程内省地址，框架会优先用本地公钥校验可识别的JWT令牌，遇到非自包含的不透明令牌时，再走远程内省逻辑完成校验。

两类配置的核心区别 #

• 角色定位不同：security.oauth2.client配置对应的是应用的主动客户端身份，作用是让应用可以主动向认证服务器发起请求，获取需要的访问凭证；security.oauth2.resource配置对应的是应用的被动资源服务器身份，作用是让应用可以对收到的外部请求做访问校验，拦截非法请求
• 核心逻辑不同：client配置的流程是“主动申请、拿取凭证”，所有交互都是应用作为发起方找认证服务器要资源；resource配置的流程是“被动接收、校验凭证”，所有交互都是应用作为接收方验证访客携带的凭证是否合法
• 依赖关系：resource配置中的远程校验能力（如内省、拉取用户信息），必须依赖client配置里的客户端凭证才能正常工作，这也是为什么同一个应用会同时出现这两套配置——你的应用同时承担了两个角色：既可以主动申请令牌去调用其他受保护服务，自身暴露的接口也需要受保护，要校验其他服务带过来的访问令牌。

内容的提问来源于stack exchange，提问作者stacktrace2234