Spring Boot 授权服务器 + Google OAuth2/OpenId Connect 应该使用 access_token 还是 id_token？

Question

我对于是否应该通过 access_token 还是 id_token 访问我的 Spring Boot 资源服务器有点困惑。

首先，让我快速解释一下我的设置：

• Spring Boot 应用程序作为 OAuth 2.0 资源服务器。这是按照 Spring 文档中所述进行配置的： JWT 的最小配置 此应用提供安全的 @Controller，将为 JavaScript SPA（例如 React）
• Google 的 OAuth 2.0 AP / OpenID Connect 已配置（凭据、客户端 ID、客户端密钥）
• JavaScript SPA 应用程序（例如 React）将用户登录到 Google 并向 Spring Boot 资源服务器发出请求以获取安全数据。这些请求包括登录用户的授权标头（带有从 Google 获取的不记名令牌）。
• 出于开发目的，我还使用 Postman 向 Spring Boot 资源服务器发出请求，

我可以轻松配置 Postman 以从 Google 获取令牌。来自 Google 的此令牌响应包括 access_token、id_token、scope、expries_in 和 token_type 的值代码>.

但是，当 Postman 尝试使用检索到的令牌的 access_token 字段中的值作为授权标头中的承载时，我对资源服务器的请求被拒绝

这是我能够成功访问安全的唯一方法>@Controllers 是通过使用 id_token 作为 Authorization 标头中的 Bearer 来实现的。

我是否应该使用 id_token 作为授权标头中的承载者？或者我应该使用access_token？

一些其他相关信息：

• id_token 的值是 JWT 令牌。 access_token 的值不是 JWT 令牌。我知道这一点是因为我可以解码 jwt.io 上的 id_token 但它无法解码access_token 的值。此外，当我将 access_token 作为 Authorization 标头中的 Bearer 发送时，Spring Boot 资源服务器会失败并出现以下错误：

尝试解码 Jwt 时发生错误：无效的不安全/JWS/JWE 标头：无效的 JSON：位置 2 处出现意外的令牌 ɭ�。

• 此博客文章 了解身份令牌 内容如下：

您不应使用身份令牌来授权对 API 的访问。 要访问 API，您应该使用 OAuth 的访问令牌，该令牌仅适用于受保护的资源 (API)，并且内置范围界定。

• 查看 spring-security-samples 对于使用 OAuth2 资源服务器，我看到硬编码的 access_token 的值（用于测试目的）确实是一个有效的 JWT。与从 Google 返回的 access_token 相反，它不是 JWT。

总之：

• 我可以使用从 Google 获取的 id_token 值来访问我的 Spring Boot 资源服务器。 access_token 的值不是 JWT，Spring Boot 无法解析。
• 是我的理解有问题，还是我的配置有问题？ Google 的 OpenId Connect 在 access_token 的工作方式方面是否有不同的行为？

如果需要，很乐意澄清或添加更多信息。感谢您的考虑和耐心！

Answer 1

在我看来，您提到的博客文章是正确的，并且我相信 OpenID Connect 1.0 规范并不打算将 id_token 用于访问目的。

和您一样，我预计使用 Google 作为授权服务器可以开箱即用，因为 Spring Security 与 Google 一起作为公共 OAuth2 提供者来提供社交登录。然而，事实并非如此，而且我相信这并不是真正的意图，因为 Google 并不是真正的您的授权服务器。例如，我不相信您可以将 Google 配置为使用特定于域的应用程序的范围/权限/权限。这与 Okta 之类的东西不同，Okta 中有很多用于在您自己的租户中配置事物的选项。

我实际上建议查看 Spring 授权服务器，并将 Google 配置为联合服务器身份提供者。我目前正在为此编写一个示例，它将在下周左右发布（更新：现在包含在 官方示例）。

话虽如此，如果您仍然对使用 Google 访问令牌对资源服务器进行身份验证的简单用例感兴趣，则需要提供自己的 不透明令牌使用 Google 的 的内省器 tokeninfo 端点。它与 Spring Security 所期望的不符，所以有点牵扯。

@EnableWebSecurity
public class SecurityConfiguration {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        // @formatter:off
        http
            .authorizeRequests((authorizeRequests) -> authorizeRequests
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(OAuth2ResourceServerConfigurer::opaqueToken);
        // @formatter:on

        return http.build();
    }

    @Bean
    public OpaqueTokenIntrospector introspector() {
        return new GoogleTokenIntrospector("https://oauth2.googleapis.com/tokeninfo");
    }

}

public final class GoogleTokenIntrospector implements OpaqueTokenIntrospector {
    private final RestTemplate restTemplate = new RestTemplate();
    private final String introspectionUri;

    public GoogleTokenIntrospector(String introspectionUri) {
        this.introspectionUri = introspectionUri;
    }

    @Override
    public OAuth2AuthenticatedPrincipal introspect(String token) {
        RequestEntity<?> requestEntity = buildRequest(token);
        try {
            ResponseEntity<Map<String, Object>> responseEntity = this.restTemplate.exchange(requestEntity, new ParameterizedTypeReference<>() {});
            // TODO: Create and return OAuth2IntrospectionAuthenticatedPrincipal based on response...
        } catch (Exception ex) {
            throw new BadOpaqueTokenException(ex.getMessage(), ex);
        }
    }

    private RequestEntity<?> buildRequest(String token) {
        HttpHeaders headers = new HttpHeaders();
        headers.setAccept(Collections.singletonList(MediaType.APPLICATION_JSON));
        MultiValueMap<String, String> body = new LinkedMultiValueMap<>();
        body.add("access_token", token);

        return new RequestEntity<>(body, headers, HttpMethod.POST, URI.create(introspectionUri));
    }
}

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: https://accounts.google.com
          jwk-set-uri: https://www.googleapis.com/oauth2/v3/certs