如何配置Spring OAuth2授权服务器与资源服务器使用静态密钥，避免发送GET /oauth2/jwks请求

嘿，我完全懂你作为老师想简化OAuth2示例的心情——毕竟一开始就把学生绕进一堆网络往返里，反而会让他们抓不住核心流程。刚好你已经有了现成的RSA密钥配置，接下来咱们一步步调整授权服务器和资源服务器，就能跳过JWKS请求，直接用静态密钥搞定：

一、复用你已有的RSA密钥配置 #

首先，你之前写的RsaKeyProperties、application.properties里的密钥路径配置，还有启动类上的@EnableConfigurationProperties(RsaKeyProperties.class)，这些都完全保留，不用改——咱们直接复用这套本地密钥体系。

二、调整授权服务器配置 #

授权服务器需要用你的本地密钥生成JWT令牌，而不是默认依赖JWKS端点。你只需要在授权服务器的安全配置里，保留你的JwtEncoder Bean，再确保授权服务器的令牌生成逻辑使用这个Encoder就行：

@Configuration
@EnableWebSecurity
public class AuthorizationServerSecurityConfig {

    // 保留你原来的JwtEncoder Bean
    @Bean
    JwtEncoder jwtEncoder(RsaKeyProperties rsaKeyProperties) {
        JWK jwk = new RSAKey.Builder(rsaKeyProperties.publicKey())
                .privateKey(rsaKeyProperties.privateKey())
                .build();
        JWKSource<SecurityContext> jwks = new ImmutableJWKSet<>(new JWKSet(jwk));
        return new NimbusJwtEncoder(jwks);
    }

    @Bean
    public SecurityFilterChain authorizationServerFilterChain(HttpSecurity http) throws Exception {
        // 应用授权服务器默认安全规则
        OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);
        
        // 可选：如果需要OIDC支持，开启它
        http.getConfigurer(OAuth2AuthorizationServerConfigurer.class)
                .oidc(Customizer.withDefaults());
        
        // 配置登录入口（如果还没加的话）
        http.exceptionHandling(exceptions -> exceptions
                .authenticationEntryPoint(new LoginUrlAuthenticationEntryPoint("/login"))
        );
        
        return http.build();
    }

    // 可选：自定义JWT内容（比如添加额外声明）
    @Bean
    JwtCustomizer jwtCustomizer() {
        return jwtBuilder -> jwtBuilder
                .issuer("http://your-auth-server-url:8080")
                .claim("demo-claim", "for-teaching-purpose");
    }
}

这样授权服务器就会用你的本地RSA密钥生成JWT，不再依赖JWKS端点来管理密钥。

三、调整资源服务器配置 #

资源服务器这边核心是直接用本地公钥解码JWT，完全不用去请求授权服务器的/oauth2/jwks端点。你只需要把之前的JwtDecoder Bean放到资源服务器的配置里，然后在资源服务器的安全规则里指定用这个Decoder：

@Configuration
@EnableWebSecurity
public class ResourceServerSecurityConfig {

    // 复用你原来的JwtDecoder Bean
    @Bean
    JwtDecoder jwtDecoder(RsaKeyProperties rsaKeyProperties) {
        return NimbusJwtDecoder.withPublicKey(rsaKeyProperties.publicKey()).build();
    }

    @Bean
    public SecurityFilterChain resourceServerFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(auth -> auth
                        .anyRequest().authenticated()
                )
                .oauth2ResourceServer(oauth2 -> oauth2
                        // 指定用我们的自定义JwtDecoder，而不是默认的JWKS拉取逻辑
                        .jwt(jwt -> jwt.decoder(jwtDecoder()))
                );
        
        return http.build();
    }
}

这样资源服务器启动后，会直接加载本地公钥来验证JWT签名，不会发起任何JWKS相关的请求，完全符合你想要的简化效果。

四、客户端配置（保持常规授权码流程即可） #

客户端这边还是按照授权码流程正常配置就行，比如注册客户端信息、指定回调地址等，不需要额外修改——因为令牌是标准JWT，资源服务器已经能直接验证了。示例配置参考：

@Configuration
public class ClientRegistrationConfig {

    @Bean
    public RegisteredClientRepository registeredClientRepository() {
        RegisteredClient demoClient = RegisteredClient.withId(UUID.randomUUID().toString())
                .clientId("student-client")
                .clientSecret("{noop}student-secret") // 教学用明文，生产环境一定要加密
                .clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT_SECRET_BASIC)
                .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
                .redirectUri("http://your-client-url:8081/login/oauth2/code/student-client")
                .scope(OidcScopes.OPENID)
                .scope("read-resources")
                .build();
        
        return new InMemoryRegisteredClientRepository(demoClient);
    }
}

最后说点教学小贴士 #

等学生理解了简化版的授权码流程后，再告诉他们为什么实际项目中会用JWKS：比如密钥轮换、多实例部署时的密钥共享、动态更新密钥等场景，这样循序渐进的方式会让学生更容易理解OAuth2的设计初衷。

备注：内容来源于stack exchange，提问作者chris457