调试资源服务器和授权服务器之间的接口（oauth 2.0.验证访问令牌）

Question

有两个< code >Spring启动应用程序。

1. 客户
2. 资源服务器 有用作身份验证服务器的 dev okta 帐户

(这两个应用程序是标准的< code>Spring Boot客户端-

客户端-安全地将消息发送到--

（它按预期工作）

但我试图弄清楚他们之间发生了什么，交通明智

我试图发现resource-server检查它从从auth server获取的客户端令牌的那一刻。

这是标准< code>oauth 2.0流程和我想调试部分的序列图(箭头)

身份验证服务器

客户端之间有一个通信，资源切断器：

我似乎无法确认资源服务器（从右边）是否使用auth-Server（okta）进行任何令牌验证。。？

问题：为什么？根据我的理解，它应该（以某种方式）验证它。

我希望看到从资源服务器到身份验证服务器（otka）的调用，其中包含令牌验证请求（2015年10月的ETF RFC 7662），如下所示：

如何验证资源服务器的OAuth 2.0访问令牌？

我希望，比方说，对于每个客户端调用，资源服务器都会检查客户端传递的令牌是否有效。然而，我看不到任何来自资源服务部门对okta的调用会在其对okta请求中使用令牌。

Answer 1

这归结为JWT和不透明令牌之间的区别。

根据我看到的对< code>/keys的调用，看起来您的应用程序正在使用JWTs。

使用JWT身份验证时，资源服务器将在启动时查询jwks_url（在本例中为/key）以检索一组公钥，它可用于验证JWT编码的承载令牌。

然后，当资源服务器在来自客户端的请求中收到持有者令牌时，它将根据从jwks_url终结点获取的公钥验证其签名。

这意味着资源服务器不必对每个请求都查询授权服务器。< br >您可以在Spring Security reference文档的OAuth 2.0 Resource Server JWT部分中了解有关此过程的更多信息。

您链接到的问题涉及不透明令牌。< br >在此设置中，资源服务器每次都必须调用授权服务器自检endpoint来验证令牌。您可以在Spring Security参考文档的OAuth 2.0 Resource Server Opaque Token一节中了解关于这个过程的更多信息。