春季安全OATUH2：如何在没有授权服务器的情况下验证

Question

当我尝试使用 spring-boot-starter-oauth2-resource-server 依赖项并将我的服务设置为 oauth2资源服务时，我就会出现一个问题。

我已经配置了 spring oauth2资源服务器没有 spring.security.oauth2.resourceserver.jwt.issuer-uri 都不。

而不是这些，我指导了 spring oauth2资源服务器库如何解码JWT。我刚刚创建了一个 reactivejwtdecoder ：

@Bean
public ReactiveJwtDecoder reactiveJwtDecoder() throws Exception {
    Mac mac = Mac.getInstance("HmacSHA256");
    SecretKeySpec secretKey = new SecretKeySpec("JAC1O17W1F3QB9E8B4B1MT6QKYOQB36V".getBytes(), mac.getAlgorithm());

    return NimbusReactiveJwtDecoder.withSecretKey(secretKey)
        .macAlgorithm(MacAlgorithm.HS256)
        .build();
}

这样，我就可以验证JWT令牌。

在我的脑海中引起的问题是：

对oauth ，说：

客户通过介绍访问来访问受保护的资源 标记为资源服务器。资源服务器必须验证 访问令牌并确保其尚未过期并确保其范围 涵盖请求的资源。资源使用的方法 服务器验证访问令牌（以及任何错误响应） 超出了此规范的范围，但通常涉及 资源服务器与 授权服务器。

Spring OAuth2资源服务器库工作良好吗？

Answer 1

这种方法没有错。这里可能的问题是
您正在使用对称键。通过这种方法，您正在使用相同的键来签名令牌和验证其签名。这意味着您需要与身份验证过程中所涉及的所有应用程序共享用于签名令牌的密钥，而这些应用程序并非总是可能的，并且资源服务器具有太多的功率。

为了保留授权服务的关键，资源服务器中有一个选项使用授权服务曝光的特殊端点来验证令牌。

另一种方法是使用不对称的钥匙对签名和验证令牌。在这种情况下，专用密钥将仅分配给授权服务，并且可以与身份验证过程中涉及的所有应用程序共享公共密钥。

@Bean
public ReactiveJwtDecoder jwtDecoder() throws GeneralSecurityException {
    RSAPublicKey key = (RSAPublicKey) KeyFactory.getInstance("RSA")
            .generatePublic(new X509EncodedKeySpec(getKeySpec(properties.getPublicKey())));
    return NimbusReactiveJwtDecoder.withPublicKey(key)
            .signatureAlgorithm(SignatureAlgorithm.from(properties.getSignatureAlgorithm()))
            .build();
}