重写JWT OAuth令牌UserAuthenticationConverter：Spring资源服务器Principal为空问题

我之前也碰到过类似的情况——权限校验明明正常生效，但就是拿不到Principal或OAuth2Authentication对象，确实挺让人困惑的😅。结合Spring Security和Auth0的整合经验，给你几个排查和解决的方向：

1. 先检查你获取认证对象的方式是否适配当前版本 #

Spring Security 5.2+之后，OAuth2Authentication已经被标记为过时（deprecated），取而代之的是OAuth2AuthenticationToken或者直接使用通用的Authentication接口。如果还是老方式注入，很可能拿到null：

• 试试在Controller方法参数里直接注入Authentication，再强转为OAuth2类型：

  @GetMapping("/user/profile")
  public Map<String, Object> getProfile(Authentication authentication) {
      // 强转为OAuth2认证令牌
      OAuth2AuthenticationToken oAuth2Token = (OAuth2AuthenticationToken) authentication;
      // 从Principal里拿到Auth0返回的用户属性（比如sub、name、email等）
      return oAuth2Token.getPrincipal().getAttributes();
  }
  

• 或者通过SecurityContextHolder手动获取上下文里的认证对象：

  Authentication auth = SecurityContextHolder.getContext().getAuthentication();
  if (auth != null && auth.isAuthenticated()) {
      // 处理认证信息
      OAuth2User oAuth2User = (OAuth2User) auth.getPrincipal();
      String userId = oAuth2User.getAttribute("sub");
  }
  

2. 核对资源服务器的配置是否完整 #

尤其是使用JWK配置的场景，要确保Spring Security能正确解析JWT并填充认证上下文。举个适配Spring Boot 2.4+的配置示例：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig {

    @Value("${auth0.audience}")
    private String apiAudience;

    @Value("${spring.security.oauth2.resourceserver.jwt.jwk-set-uri}")
    private String jwkSetUri;

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests(authz -> authz
                        .anyRequest().authenticated())
                .oauth2ResourceServer(oauth2 -> oauth2
                        .jwt(jwt -> jwt
                                .jwkSetUri(jwkSetUri)
                                .audience(apiAudience))); // 必须和Auth0配置的API受众一致
        return http.build();
    }
}

重点注意：audience必须和你在Auth0控制台配置的API标识符完全匹配，否则Spring Security会忽略这个令牌，导致认证上下文为空。

3. 验证JWT令牌本身的有效性 #

用JWT解析工具（比如jwt.io）打开你的令牌，检查几个关键字段：

• aud：是否和资源服务器配置的apiAudience一致；
• scope：是否包含你配置的profile:read等权限；
• exp：令牌是否过期；
  如果令牌本身字段不符合要求，Spring Security会拒绝解析，自然拿不到认证对象。

4. 排查是否有自定义过滤器干扰认证流程 #

如果你的项目里有自定义的Filter或拦截器，可能会覆盖Spring Security的默认认证逻辑，导致SecurityContext里的认证对象没有被正确设置。可以暂时禁用自定义过滤器，测试问题是否消失，再逐步排查冲突点。

内容的提问来源于stack exchange，提问作者niltz