如何在春季授权服务器中丰富JWT？

Question

我有一个带有微服务体系结构的SaaS服务器。身份验证是由新的 Spring授权服务器。对于某些领域的情况，我希望能够重新评估登录用户的JWT，而无需强迫用户再次输入其密码以通过其他索赔来丰富他们的令牌。

：登录用户使用索赔集

A。

拥有 像这样：

@PostMapping("/renew")
public Authentication token() {
    return jwtAuthenticationProvider.authenticate(
            new BearerTokenAuthenticationToken(JwtUtil.getCurrentAuthenticationTokenValue())
    );
}

where jwtutil.getCurrentAuthenticationTokenValue（）从security> security> security> securitycontextholder提取登录的用户令牌值。此设置没有创建新的令牌，并像没有触发身份验证过程一样返回旧的令牌。

但是我找不到在Spring授权服务器中生成新令牌的函数/服务。

PS。我不能使用RefReshToken来获取新的访问权限，因为我的客户端是公开的，并且根据 this ，仅向机密客户发行重新刷新。

Answer 1

您可以阅读有关 oauth2tokencustomizer 在文档中。这是自定义访问令牌的一个示例：

    @Bean
    public OAuth2TokenCustomizer<JwtEncodingContext> tokenCustomizer() {
        return (context) -> {
            if (OAuth2TokenType.ACCESS_TOKEN.equals(context.getTokenType())) {
                context.getClaims().claims((claims) -> {
                    claims.put("claim-1", "value-1");
                    claims.put("claim-2", "value-2");
                });
            }
        };
    }

在您的情况下，您可以向授权端点（例如get> get/oauth2/授权？...）向客户发出新请求。 >授权_Code带有不同范围或其他请求参数的流动，并使用自定义器添加您需要的任何要求。根据您提供的信息，这是使用授权服务器发布新令牌的建议方法。

添加自定义端点以执行与OAUTH2相关的操作（例如自定义/续订端点），而无需合并规范的最佳实践和标准不是不建议。