实现基于JWT的OAuth2资源服务器并处理令牌吊销与自定义权限验证

题目

实现基于JWT的OAuth2资源服务器并处理令牌吊销与自定义权限验证

信息

• 类型：问答
• 难度：⭐⭐⭐

考点

Spring Security OAuth2资源服务器配置,JWT验证原理,自定义权限验证,令牌吊销机制,分布式环境处理

快速回答

实现该需求需要以下核心步骤：

1. 配置Spring Security作为OAuth2资源服务器并集成JWT解析
2. 实现自定义GrantedAuthoritiesMapper处理权限转换
3. 通过黑名单机制实现JWT吊销，结合Redis存储吊销令牌
4. 创建自定义JwtAuthenticationConverter集成吊销检查
5. 使用@PreAuthorize注解实现方法级权限控制

关键挑战在于无状态环境下实现实时吊销和自定义权限映射。

解析

1. 核心原理说明

JWT的无状态特性要求资源服务器自行验证令牌签名和声明。Spring Security OAuth2资源服务器通过JwtDecoder处理JWT验证，但默认不支持吊销机制。自定义权限验证需重写权限映射逻辑，而令牌吊销需要维护服务器端状态（黑名单）。

2. 完整实现方案

2.1 基础配置

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests(authz -> authz
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(jwt -> jwt
                    .jwtAuthenticationConverter(customJwtAuthConverter())
                )
            );
    }

    @Bean
    public JwtDecoder jwtDecoder() {
        return NimbusJwtDecoder.withJwkSetUri("https://auth-server/.well-known/jwks.json")
                .build();
    }
}

2.2 自定义权限验证

public class CustomAuthorityMapper implements Converter<Jwt, Collection<GrantedAuthority>> {

    @Override
    public Collection<GrantedAuthority> convert(Jwt jwt) {
        // 从自定义声明中提取权限
        Map<String, Object> realmAccess = jwt.getClaim("realm_access");
        List<String> roles = (List<String>) realmAccess.get("roles");

        // 转换权限格式并添加前缀
        return roles.stream()
            .map(role -> new SimpleGrantedAuthority("ROLE_" + role))
            .collect(Collectors.toList());
    }
}

// 集成到认证转换器
private JwtAuthenticationConverter customJwtAuthConverter() {
    JwtAuthenticationConverter converter = new JwtAuthenticationConverter();
    converter.setJwtGrantedAuthoritiesConverter(new CustomAuthorityMapper());
    return converter;
}

2.3 JWT吊销实现（Redis黑名单）

@Service
public class TokenRevocationService {

    @Autowired
    private RedisTemplate<String, String> redisTemplate;

    public void revokeToken(String jti, Duration ttl) {
        // 使用JWT ID作为key，存储吊销记录
        redisTemplate.opsForValue().set("revoked:" + jti, "true", ttl);
    }

    public boolean isTokenRevoked(String jti) {
        return Boolean.TRUE.equals(redisTemplate.hasKey("revoked:" + jti));
    }
}

// 增强的JWT验证器
public class RevocableJwtDecoder implements JwtDecoder {

    private final JwtDecoder delegate;
    private final TokenRevocationService revocationService;

    @Override
    public Jwt decode(String token) throws JwtException {
        Jwt jwt = delegate.decode(token);

        // 检查吊销状态
        if (revocationService.isTokenRevoked(jwt.getId())) {
            throw new JwtException("Token revoked");
        }
        return jwt;
    }
}

2.4 方法级权限控制

@RestController
public class SecureController {

    @PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
    @GetMapping("/users/{userId}")
    public ResponseEntity<UserProfile> getUserProfile(@PathVariable String userId) {
        // 实现逻辑
    }

    @PreAuthorize("@customPermissionEvaluator.hasResourceAccess(authentication, #resourceId)")
    @DeleteMapping("/resources/{resourceId}")
    public ResponseEntity<Void> deleteResource(@PathVariable String resourceId) {
        // 实现逻辑
    }
}

// 自定义权限评估器
@Component("customPermissionEvaluator")
public class CustomPermissionEvaluator {

    public boolean hasResourceAccess(Authentication auth, String resourceId) {
        // 实现复杂的资源级权限逻辑
    }
}

3. 最佳实践

• 吊销列表优化：设置Redis TTL与JWT过期时间一致，自动清理过期记录
• 性能考虑：使用本地缓存（Caffeine）缓存吊销状态，减少Redis访问
• 安全增强：验证JWT签名、issuer、audience和有效期
• 错误处理：自定义AuthenticationEntryPoint返回标准OAuth2错误响应

4. 常见错误

• 未验证JWT签名：导致伪造令牌被接受
• 时间同步问题：服务器间时钟不同步导致有效期验证错误
• 权限映射错误：未正确处理权限前缀（如缺失ROLE_）
• 并发问题：吊销操作和验证请求间的竞态条件

5. 扩展知识

• OAuth2令牌自省：作为黑名单方案的替代，实时查询授权服务器
• JWT密钥轮换：通过JwtDecoder动态加载JWKS
• 分布式追踪：使用ReactiveJwtDecoder在响应式架构中集成
• 性能监控：通过JwtDecoder的withMetrics()添加监控指标