如果我正确理解了 oauth2 规范，我应该能够将自定义内容（如 user_id）添加到 oauth2 访问令牌中。然后，服务器可以解码访问令牌并将用户域对象添加到 SecurityContextHolder。
（当然我可以将 user_id 添加到每个 REST API 方法中，但这意味着需要大量重构）
现在通过阅读手册，我认为我需要实现或扩展 TokenEnhancer。因为我可能使用的是 javascript 客户端 我应该扩展 JwtAccessTokenConverter 吗？我走在正确的道路上吗？
【问题讨论】：
标签： spring spring-security oauth-2.0 spring-security-oauth2
首先为什么您需要将 userId 广告到 Access 令牌，而您可以将数据存储在 Scope 或附加信息中，让我描述一下使用范围：
如果您的客户端需要使用访问令牌获取特定数据，您可以将其作为范围参数发送到 Auth 服务器，然后当将访问令牌重定向到重定向 URL 时，您将获得放入范围参数的数据，这用于存储统计信息您的用户在身份验证之前和之后。
如果您希望此用户 ID 用于其他用途而不是存储状态，我建议在 Auth 服务器上创建端点以提供用户详细信息并使用带有访问令牌的 OAuth 保护它。
我不建议在生成访问令牌时放置任何数据，因为它可能会削弱令牌的复杂性，也不建议在客户端解码您的令牌。
【讨论】：
@Bean
public TokenEnhancer tokenEnhancer() {
return new TokenEnhancer() {
@Override
public OAuth2AccessToken enhance(OAuth2AccessToken oAuth2AccessToken, OAuth2Authentication oAuth2Authentication) {
DefaultOAuth2AccessToken newToken = new DefaultOAuth2AccessToken(oAuth2AccessToken);
Map<String, Object> addInfo = new HashMap<>();
// add here what u need
addInfo.put("putName", oAuth2Authentication.getName());
newToken.setAdditionalInformation(addInfo);
return newToken;
}
};
}
在 AuthorizationServerConfiguration：
@Autowired
private TokenEnhancer tokenEnhancer;
...
@Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints)
throws Exception {
endpoints
.tokenStore(this.tokenStore)
.authenticationManager(this.authenticationManager)
.userDetailsService(this.userDetailsService)
.tokenEnhancer(this.tokenEnhancer);
}
【讨论】：