oauth2 令牌请求中的附加参数

Question

我正在为 oauth2 客户端开发后端。我正在使用带有 PKCE 扩展的授权流。我正在尝试以在客户端生成代码验证器和代码质询的方式来实现它。所以我必须向我的令牌请求添加其他参数（第二个请求，当输入是授权码并且我的应用程序将其交换为访问令牌时）。 我的应用程序必须从请求参数中获取这个 code_verifier 并将其传递给授权服务器，其中包含授权代码、客户端 ID 和客户端密码。

所以现在我正在努力定制 spring-security-oauth2-client 以添加额外的参数。 可以通过实现 OAuth2AuthorizationRequestResolver 将此类参数添加到授权请求中，但是是否有类似的方法可以将参数添加到令牌请求中？

或者也许我应该手动实现这个端点？

Answer 1

我感受到了您的痛苦，因为 Spring OAuth 安全性对于常见用例的记录通常很差。您可能会考虑的一种选择是提供一个自定义 Spring 过滤器，该过滤器使用开源 nimbusds libraries，它具有非常好的文档并且易于使用。