Spring Authorization Server是否支持FAPI 2.0及指定核心特性？

核心FAPI 2.0特性支持现状 #

针对你列出的FAPI 2.0关键特性，Spring Authorization Server的支持情况如下：

• PAR（Pushed Authorization Request）端点：已支持，从版本0.3.0起就提供了符合FAPI 2.0规范的PAR端点实现。
• 客户端密钥签名的JAR（JWT Authorization Requests）：完全支持，允许客户端使用自身密钥对授权请求进行JWT签名，满足FAPI 2.0的安全要求。
• JARM（JWT Authorization Responses）：FAPI 2.0规范中JARM已不再是必填项，属于可选特性。Spring Authorization Server支持通过配置开启JARM，可自定义响应处理逻辑实现该功能。
• 令牌绑定：
  • MTLS令牌绑定：原生支持，可通过配置TLS客户端认证实现令牌与TLS会话的绑定。
  • DPoP：从版本1.1.0开始正式支持，满足FAPI 2.0中令牌绑定的可选实现要求。
• PAR端点安全：默认遵循FAPI 2.0对PAR端点的安全要求，包括客户端认证、请求签名验证等，同时支持通过自定义配置进一步强化安全策略。

额外需求适配能力 #

针对你提到的IDP集成、用户数据库控制、OIDC提供商对接以及Thales OneWelcome(CIAM)集成需求：

• Spring Authorization Server具备灵活的扩展点，可通过自定义认证器对接第三方IDP；
• 用户数据库的接入可借助Spring Security的用户认证体系实现，支持对接多种类型的数据源；
• 作为合规的OIDC提供商，原生支持OIDC核心功能，能够满足相关对接需求；
• 针对Thales OneWelcome(CIAM)的集成，可通过其提供的标准OAuth/OIDC接口完成对接，Spring Authorization Server的扩展能力可适配这类第三方集成场景。

总结 #

Spring Authorization Server目前已支持FAPI 2.0的核心必填特性，可选特性也可通过配置或扩展实现，完全能满足你开展FAPI 2.0 POC验证的需求。

内容的提问来源于stack exchange，提问作者HyperioN