Spring Security OAuth2：如何基于客户端ID限制API访问权限

你的实现思路完全符合OAuth2的标准设计，用JWT的scope做权限粒度控制是框架原生支持的实现方式，不需要额外自定义非标准的令牌声明，具体实现分授权服务器、资源服务器两端配置即可。

你提到的用scope字段做权限标识的思路是完全正确的，这是OAuth2协议专门设计的授权粒度字段，全链路解析、校验都不需要额外开发逻辑。
具体配置逻辑：

• 给每个客户端绑定对应的权限scope：只允许调用GET接口的客户端，仅分配user.read权限，不开放user.write权限；需要执行创建、更新操作的客户端，再额外分配user.write权限
• 签发JWT访问令牌时，框架会自动把客户端被授权的scope值写入令牌的标准scope声明字段，不需要手动拼接令牌内容

示例代码（基于Spring Authorization Server）：

@Bean
public RegisteredClientRepository registeredClientRepository() {
    // 仅支持读操作的客户端
    RegisteredClient readOnlyClient = RegisteredClient.withId(UUID.randomUUID().toString())
        .clientId("read-only-app")
        .clientSecret("{noop}client-secret-123")
        .authorizationGrantType(AuthorizationGrantType.CLIENT_CREDENTIALS)
        .scope("user.read")
        .scope(OidcScopes.OPENID)
        .tokenSettings(TokenSettings.builder()
            .accessTokenFormat(AccessTokenFormat.JWT)
            .build())
        .build();

    // 支持读写操作的客户端
    RegisteredClient adminClient = RegisteredClient.withId(UUID.randomUUID().toString())
        .clientId("admin-app")
        .clientSecret("{noop}admin-secret-456")
        .authorizationGrantType(AuthorizationGrantType.CLIENT_CREDENTIALS)
        .scope("user.read")
        .scope("user.write")
        .scope(OidcScopes.OPENID)
        .build();

    return new InMemoryRegisteredClientRepository(readOnlyClient, adminClient);
}

资源服务器不需要手动解析JWT内容，直接通过Spring Security内置的规则绑定接口需要的scope权限即可，框架会自动完成令牌有效性校验、scope值提取、权限匹配全流程。
这里需要纠正一个和你预期有出入的点：按照HTTP语义规范，当令牌本身合法但权限不足时，标准返回码是403 Forbidden，401 Unauthorized仅用于令牌缺失、令牌伪造、令牌过期这类身份校验失败的场景。如果业务上确实要求权限不足时返回401，只需要自定义异常处理器调整响应状态码即可。

示例安全配置代码：

@Configuration
@EnableWebSecurity
public class ResourceServerSecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                // 创建、更新接口：要求必须拥有user.write的scope权限
                .requestMatchers(POST, "/secured/user/create", "/secured/user/update")
                .hasScope("user.write")
                // 详情查询接口：只要拥有user.read的scope权限即可访问
                .requestMatchers(GET, "/secured/user/{id}")
                .hasScope("user.read")
                .anyRequest().authenticated()
            )
            // 启用JWT令牌的资源服务器校验能力
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()));
        return http.build();
    }
}

• 不推荐直接硬编码校验客户端ID：这种方式的耦合度很高，后续新增客户端、调整权限规则时，需要反复修改资源服务器的判断逻辑；通过scope做权限抽象层后，所有权限调整都可以在授权服务器的客户端配置上完成，资源服务器代码不需要改动
• 如果你需要强制权限不足时返回401状态码，只需要在安全配置里自定义accessDeniedHandler，将原默认的403响应替换为401即可，不需要改动核心校验逻辑
• scope的粒度不需要拆的过细，按照操作类型（读/写）划分的方式，完全可以覆盖你当前的控制需求，后续如果需要更细粒度的权限控制，再细分scope值即可

内容的提问来源于stack exchange，提问作者Zolly