如何在Spring Security OAuth2客户端中集成Apple Sign In授权登录

核心适配前提 #

Apple的OAuth2实现和现有Google、Facebook标准流程存在3处核心差异，仅修改yml配置无法覆盖这些差异：

• 采用OIDC混合授权流，无公开可访问的userInfo端点，所有用户身份信息需从返回的id_token中解析获取
• 令牌交换所需的client_secret不是固定字符串，需按Apple规则动态生成符合JWT规范的临时凭证
• 首次授权回调时会附带仅单次返回的明文用户信息（姓名、邮箱），后续回调不会重复携带

基础配置层（无固定密钥配置） #

基础yml配置仅需保留必要的端点信息，无需填充固定的客户端密钥值：

spring:
  security:
    oauth2:
      client:
        registration:
          apple:
            client-id: 你的Apple服务Bundle ID
            authorization-grant-type: authorization_code
            redirect-uri: Apple开发者后台配置的统一回调地址
            scope: name, email
        provider:
          apple:
            authorization-uri: https://appleid.apple.com/auth/authorize
            token-uri: https://appleid.apple.com/auth/token
            jwk-set-uri: https://appleid.apple.com/auth/keys

注意：此处不需要配置user-info-uri，也不需要配置固定的client-secret字段，后续逻辑会动态适配这两个部分的缺失。

可运行的核心代码实现 #

1. Apple动态client_secret生成组件 #

用于替代yml中配置的固定密钥，符合Apple令牌交换的校验要求：

@Component
public class AppleClientSecretGenerator {
    @Value("${apple.private-key-content}")
    private String privateKeyPem;
    @Value("${apple.key-id}")
    private String keyId;
    @Value("${apple.team-id}")
    private String teamId;
    @Value("${spring.security.oauth2.client.registration.apple.client-id}")
    private String clientId;

    /**
     * 生成Apple要求的JWT格式client_secret，最长有效期不超过6个月
     */
    public String generateTemporaryClientSecret() {
        long validDuration = 5 * 24 * 3600 * 1000; // 设置5天有效期，避免超期
        return Jwts.builder()
                .header().keyId(keyId)
                .and()
                .issuer(teamId)
                .subject(clientId)
                .audience().add("https://appleid.apple.com")
                .and()
                .issuedAt(new Date())
                .expiration(new Date(System.currentTimeMillis() + validDuration))
                .signWith(loadEs256PrivateKey(), Jwts.SIG.ES256)
                .compact();
    }

    private PrivateKey loadEs256PrivateKey() {
        // 此处实现PEM格式私钥解析，移除私钥文件的BEGIN/END PRIVATE KEY标记后转换为可用密钥对象
    }
}

2. 自定义用户服务适配（解决授权码交换、用户信息读取问题） #

替代默认的OAuth2用户加载逻辑，覆盖Apple的无userInfo端点场景：

@Service
public class CustomAppleOAuth2UserService implements OAuth2UserService<OAuth2UserRequest, OAuth2User> {
    private final AppleClientSecretGenerator secretGenerator;
    private final WebClient webClient = WebClient.create();

    @Override
    public OAuth2User loadUser(OAuth2UserRequest userRequest) throws OAuth2AuthenticationException {
        String registrationId = userRequest.getClientRegistration().getRegistrationId();
        // Google、Facebook的请求走原有默认逻辑，无侵入
        if (!"apple".equals(registrationId)) {
            return new DefaultOAuth2UserService().loadUser(userRequest);
        }

        // 第一步：构造Apple要求的令牌交换参数，替换固定密钥为动态生成的JWT
        MultiValueMap<String, String> exchangeParams = new LinkedMultiValueMap<>();
        exchangeParams.add("client_id", userRequest.getClientRegistration().getClientId());
        exchangeParams.add("client_secret", secretGenerator.generateTemporaryClientSecret());
        exchangeParams.add("code", userRequest.getAuthorizationExchange().getAuthorizationResponse().getCode());
        exchangeParams.add("grant_type", "authorization_code");
        exchangeParams.add("redirect_uri", userRequest.getClientRegistration().getRedirectUri());

        // 第二步：调用token端点完成授权码换令牌
        Map<String, Object> tokenResponse = webClient.post()
                .uri(userRequest.getClientRegistration().getProviderDetails().getTokenUri())
                .contentType(MediaType.APPLICATION_FORM_URLENCODED)
                .bodyValue(exchangeParams)
                .retrieve()
                .bodyToMono(Map.class)
                .block();

        // 第三步：解析返回的id_token获取用户核心身份信息（无额外接口调用）
        String idToken = (String) tokenResponse.get("id_token");
        Jws<Claims> parsedIdToken = Jwts.parser()
                .keyLocator(new JwkSetKeyResolver(userRequest.getClientRegistration().getProviderDetails().getJwkSetUri()))
                .build()
                .parseSignedClaims(idToken);
        Claims userClaims = parsedIdToken.getPayload();

        // 以Apple返回的sub字段作为用户唯一标识，不可使用邮箱作为唯一键
        return new DefaultOAuth2User(
                Collections.singleton(new SimpleGrantedAuthority("ROLE_USER")),
                userClaims,
                "sub"
        );
    }
}

3. 回调过滤器适配（解决授权码读取卡点） #

针对Apple回调采用的application/x-www-form-urlencoded编码格式，需替换默认的参数提取逻辑：

• 兼容form表单形式的code字段读取，替代仅解析query参数的默认实现，避免读不到授权码的问题
• 额外捕获回调中仅单次返回的user字段（JSON格式的姓名、邮箱信息），暂存至服务端会话，在用户信息落库时取出持久化
• 对回调的code字段做空值校验，避免参数读取失败导致的流程中断

核心校验注意点 #

• Apple的用户唯一标识为id_token中的sub字段，不要依赖返回的邮箱字段作为用户主键，用户可选择隐藏真实邮箱
• 动态生成的client_secret有效期不可超过6个月，否则Apple会直接拒绝令牌交换请求
• 首次授权回调返回的用户姓名仅会传递一次，必须在首次登录时持久化存储，后续登录流程不会重复携带该字段

内容的提问来源于stack exchange，提问作者selan dimantha