正确配置Spring Security OAuth2：基于JWT的授权服务器配置问题

看起来你正在搭建基于Spring Security OAuth2和JWT的授权服务器，我来帮你梳理下当前代码的问题，并给出完整的配置参考~

首先看你的现有代码问题 #

1. 主类注解缺失：你给主类加了@EnableResourceServer，这个注解是用来标记资源服务器的；如果要搭建授权服务器，必须额外添加@EnableAuthorizationServer注解，否则无法启用OAuth2的授权服务能力。
2. 安全配置类方法不完整：你重写的authenticationManagerBean()方法代码没写完，这个方法是授权服务器必须的（OAuth2的授权流程依赖AuthenticationManager来处理用户认证），完整实现应该调用父类的方法。

完整配置示例 #

1. 修正后的主类 #

@SpringBootApplication
@EnableAuthorizationServer // 新增：启用授权服务器
@EnableResourceServer // 如果你的应用同时也是资源服务器（需要保护接口），保留这个注解
public class Application {
    public static void main(String[] args) {
        SpringApplication.run(Application.class, args);
    }
}

2. 完善安全配置类 #

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    // 暴露AuthenticationManager给授权服务器使用
    @Override
    @Bean
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    // 示例：基于内存的用户认证（测试用，生产建议替换为数据库查询）
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("test-user")
                .password("{noop}test-pass") // {noop}表示不加密，生产必须替换为BCrypt等加密方式
                .roles("USER");
    }
}

3. 新增授权服务器专属配置类 #

你还需要一个专门的配置类来定义JWT和客户端的相关规则：

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private AuthenticationManager authenticationManager;

    // JWT令牌转换器，负责签名和解析JWT
    @Bean
    public JwtAccessTokenConverter accessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
        // 示例：使用对称密钥签名JWT，生产环境建议用RSA非对称加密
        converter.setSigningKey("your-strong-secret-key");
        return converter;
    }

    // 令牌存储方式，这里用JWT所以使用JwtTokenStore
    @Bean
    public TokenStore tokenStore() {
        return new JwtTokenStore(accessTokenConverter());
    }

    // 配置授权服务器端点
    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.tokenStore(tokenStore())
                .accessTokenConverter(accessTokenConverter())
                .authenticationManager(authenticationManager);
    }

    // 配置客户端信息（哪些客户端可以请求令牌）
    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
                .withClient("demo-client")
                .secret("{noop}demo-secret")
                .authorizedGrantTypes("password", "refresh_token") // 支持密码模式和刷新令牌模式
                .scopes("read", "write") // 客户端权限范围
                .accessTokenValiditySeconds(3600) // 访问令牌有效期1小时
                .refreshTokenValiditySeconds(86400); // 刷新令牌有效期1天
    }
}

生产环境注意事项 #

• 加密方式：绝对不要在生产环境使用{noop}，用户密码和客户端密钥都要用BCrypt、Argon2等强哈希算法加密存储。
• JWT签名：生产环境建议使用RSA非对称加密，公钥用来解析JWT，私钥用来签名，避免密钥泄露导致的令牌伪造风险。
• 令牌存储：如果需要支持令牌撤销等功能，建议替换为JDBC或Redis存储，而不是内存存储。

内容的提问来源于stack exchange，提问作者Oreste Viron