我正在使用 Spring Security Oauth2 实现一个 Auth 服务器。我注意到的是，当 spring security 保存访问令牌（使用JdbcTokenStore）时，OAuth2AccessToken 被序列化，这意味着访问令牌是 self 被保存为纯文本。我对此有几个问题。
1.) 从未使用访问令牌值实际检索过令牌。它是使用令牌 id 检索的。这是为什么呢？
2.) 是否可以对这个令牌进行哈希处理，因为它永远不会使用它的值来检索？
3.) 我们真的需要生成令牌 ID 吗？我们可以将额外信息从资源服务器传递到身份验证服务器以检索令牌并根据哈希验证它吗？
【问题讨论】：
标签： spring spring-security oauth oauth-2.0 spring-security-oauth2
默认情况下，Spring 以纯文本形式存储令牌。如果您在同一浏览器中再次请求获取令牌，您会注意到 Spring 将返回相同的令牌，只要它仍然有效。
1) 这并不完全正确。在资源服务器上，从标头中读取令牌并创建PreAuthenticatedAuthenticationToken。通过几个步骤，令牌值用于创建OAuth2Authentication。密钥是一个中间步骤，但只有在您将令牌解析为OAuth2AccessToken 之后（请参阅TokenStore.readAccessToken()）
2) 我个人会在将令牌存储到数据库之前对其进行哈希处理！但是，这确实需要您实现/扩展 TokenStore，因为您需要覆盖 TokenStore.storeAccessToken() 以保存散列值，并覆盖 TokenStore.readAccessToken() 以散列传入的令牌并在数据库中查找散列。
3) 通常，身份验证服务器和资源服务器读取同一个数据库，并且都以 OAuth2Authentication 标识用户结束。如果你想哈希，你只需要实现上面描述的存储/读取方法。
我在 1½ 前使用 Spring Oauth2 实现了这样的解决方案，因此哈希令牌和刷新令牌是可能的。在我们的例子中，我们最终没有使用 Spring Oauth2 中的资源服务器实现，因为我们每分钟收到 20K 请求，我们希望延迟解析令牌，直到请求得到验证，并使用多层缓存来避免命中数据库对每个请求。
【讨论】：