基于MySQL与Spring-OAuth2的OAuth2客户端关联用户数据库设计

嘿，我来帮你一步步理清这些OAuth2 + JPA的设计问题，结合你的需求和Spring Security OAuth2的规范来给你方案：

一、正确建立OAuth客户端各组件的关联关系 #

首先结合Spring Security OAuth2的默认表结构，调整并明确关联逻辑：

• oauth_client_details：这是核心客户端表，每个客户端对应一条记录，client_id作为主键。所有其他OAuth相关表都围绕它关联。
• oauth_client_token：存储客户端自身的访问令牌，通过client_id外键关联oauth_client_details，记录客户端用client_credentials模式获取的令牌。
• oauth_access_token：存储用户授权后的访问令牌，需要关联client_id（所属客户端）和user_id（授权用户，关联你的user表主键），同时通过refresh_token_id关联oauth_refresh_token的token_id。
• oauth_refresh_token：关联oauth_access_token，用于刷新令牌，也可以关联client_id和user_id以便溯源。
• oauth_approvals：记录用户对客户端的授权记录，通过user_id关联用户表，client_id关联oauth_client_details，同时可以关联拆分后的scope表来记录授权的具体权限。
• 拆分scopes的表设计：新增两张表实现解耦：
  • oauth_scopes：存储独立的scope，字段比如id（主键）、scope_code（比如read/write）、description（权限描述）
  • oauth_client_scopes：多对多中间表，通过client_id关联oauth_client_details，scope_id关联oauth_scopes，实现一个客户端对应多个scope，新增scope只需要往oauth_scopes加记录，再关联到对应客户端即可。

二、实现用户拥有多个客户端的设计 #

用多对多关联来实现最灵活的设计：

1. 在你的user表和oauth_client_details之间新增中间表user_client，字段为user_id（关联user表主键）和client_id（关联oauth_client_details的client_id）。
2. 这样既支持一个用户创建/拥有多个客户端，也支持多个用户共享同一个客户端（如果有业务需求的话）。如果你的业务是每个客户端只属于一个用户，也可以直接在oauth_client_details里加user_id外键指向user表，但多对多的扩展性更强。

三、从数据库动态获取客户端的实现 #

完全可以通过ClientDetailsServiceConfigurer.jdbc()来处理，这是Spring Security OAuth2提供的开箱即用方案：

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private DataSource dataSource;

    @Autowired
    private PasswordEncoder passwordEncoder;

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        // 直接使用JDBC读取数据库中的客户端信息
        clients.jdbc(dataSource)
               .passwordEncoder(passwordEncoder()); // 如果客户端密码是加密存储的，需要指定加密器
    }

    // 其他配置（比如令牌存储、授权端点等）...
}

框架会自动使用JdbcClientDetailsService从oauth_client_details表读取数据，不需要自己手动实现ClientDetailsService。如果有自定义需求（比如读取新增的client_type字段），可以继承JdbcClientDetailsService扩展逻辑。

四、添加客户端类型的实现 #

1. 数据库层面：在oauth_client_details表中新增字段client_type，类型可以是VARCHAR（存储枚举值，比如ROBOT/WEBSITE/DESKTOP/MOBILE），或者用INT关联枚举表（更规范）。
2. 代码层面：
   • 如果用默认的JdbcClientDetailsService，可以自定义ClientDetails实现类，添加clientType属性，然后重写JdbcClientDetailsService的loadClientByClientId方法，把client_type字段映射到属性上。
   • 或者直接使用自定义的ClientDetailsService，从数据库读取包含client_type的客户端信息。
3. 流程层面：根据client_type做差异化处理，比如：
   • 机器人客户端（ROBOT）默认使用client_credentials授权模式，不需要用户交互。
   • 网站/移动应用使用authorization_code/password模式，在授权页面展示对应客户端类型的提示信息。

额外优化建议 #

从你提供的ER图来看，还可以做这些调整：

• 给所有关联字段添加外键约束，保证数据一致性。
• oauth_access_token和oauth_refresh_token建议关联用户表的主键（比如user_id）而不是username，避免用户名变更导致数据失效。
• oauth_approvals可以关联oauth_scopes的id，而不是存储scope字符串，更便于维护。

内容的提问来源于stack exchange，提问作者Elias Ranz