Spring Boot OAuth报错Invalid JWK Set Object的技术求助

这个错误指向很明确：你的资源服务器在加载JWK（JSON Web Key）集合时，拿到的响应不符合规范——缺少了必须的keys属性。下面是一步步的排查和解决方法：

1. 先确认JWKS端点的返回内容 #

首先找到你配置的JWKS URI（通常在application.yml/application.properties里的spring.security.oauth2.resourceserver.jwt.jwk-set-uri），直接用浏览器或Postman访问这个地址，检查返回的JSON结构。

正确的JWKS响应必须包含keys数组，示例如下：

{
  "keys": [
    {
      "kty": "RSA",
      "e": "AQAB",
      "use": "sig",
      "kid": "sample-key-id",
      "alg": "RS256",
      "n": "..."
    }
  ]
}

如果返回的JSON里没有keys字段，问题出在授权服务器端——它没有正确生成或暴露JWK集合，需要先修复授权服务器的配置。

2. 检查资源服务器的配置是否正确 #

2.1 移除过时的@EnableResourceServer注解 #

你代码里使用的@EnableResourceServer，在Spring Security 5.7+以及Spring Boot 2.7+之后已经被标记为废弃。继续使用它可能会和新的OAuth2资源服务器配置逻辑冲突，导致JWKS加载异常。

建议移除该注解，改用基于SecurityFilterChain的现代配置方式：

import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@EnableWebSecurity
@RestController
@RequestMapping("/security/demo")
public class MyController {

    @GetMapping
    public String sayHello() {
        return "Hello Friend";
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
                .oauth2ResourceServer(oauth2 -> oauth2
                        .jwt(jwt -> jwt
                                .jwkSetUri("https://your-authorization-server/.well-known/jwks.json")
                        )
                );
        return http.build();
    }
}

2.2 匹配Token的签名算法 #

如果你的Access Token是用对称加密算法（比如HS256）签名的，那你根本不需要配置JWKS URI，应该改用配置签名密钥：

# application.yml
spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          secret: your-symmetric-secret-key-here

只有当Token用非对称加密算法（比如RS256、ES256）签名时，才需要配置JWKS URI来获取公钥进行验证。

3. 本地授权服务器的特殊检查 #

如果你是自己搭建的本地授权服务器（比如用Spring Authorization Server）：

• 确认授权服务器已经配置了密钥生成器，示例代码如下：

@Bean
public JWKSource<SecurityContext> jwkSource() {
    RSAKey rsaKey = generateRsaKey();
    JWKSet jwkSet = new JWKSet(rsaKey);
    return (jwkSelector, securityContext) -> jwkSelector.select(jwkSet);
}

private static RSAKey generateRsaKey() {
    KeyPair keyPair = generateRsaKeyPair();
    RSAPublicKey publicKey = (RSAPublicKey) keyPair.getPublic();
    RSAPrivateKey privateKey = (RSAPrivateKey) keyPair.getPrivate();
    return new RSAKey.Builder(publicKey)
            .privateKey(privateKey)
            .keyID(UUID.randomUUID().toString())
            .build();
}

private static KeyPair generateRsaKeyPair() {
    try {
        KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA");
        keyPairGenerator.initialize(2048);
        return keyPairGenerator.generateKeyPair();
    } catch (NoSuchAlgorithmException ex) {
        throw new IllegalStateException(ex);
    }
}

• 确认授权服务器的JWKS端点（默认是/oauth2/jwks）可以正常访问并返回包含keys的JSON。

4. 验证Access Token的有效性 #

最后，用JWT解析工具解码你的Access Token，检查：

• alg字段是否和你资源服务器配置的验证方式匹配
• kid字段是否存在于JWKS集合的keys数组中

如果kid不存在，也会导致JWKS加载失败，这时候需要确认授权服务器生成Token时使用的密钥和暴露在JWKS中的密钥一致。

内容的提问来源于stack exchange，提问作者Arun