为什么资源服务器必须知道Spring OAuth2中的client_id？

Question

我正在使用Spring Boot实现OAuth2授权。我已经有了授权服务器和资源服务器，现在我想使用client_credentials授予类型从资源服务器访问资源。

我对此有点困惑，因为在资源服务器中，我必须添加client\u id和client\u secret。但为什么资源服务器真的需要它呢？

据我所知，客户端应该使用客户端凭据从授权服务器获取他的访问令牌。然后将此访问令牌发送到资源服务器，而不使用任何客户端凭据。

那么，为什么资源服务器还需要一些客户端凭据呢？资源服务器和客户端是两个独立的实体，我不明白为什么资源服务器必须知道client_id和client_secret。

为什么访问令牌不足以进行身份验证check_-tokenendpoint可以返回可以使用此令牌访问的资源列表，如果客户端拥有此令牌，这意味着他已经使用客户端凭据进行了身份验证以获取此令牌。

如果我想从多个不同的客户端访问此资源服务器，该怎么办？

资源服务器配置：

@Configuration
@RestController
@EnableWebSecurity
@EnableResourceServer
public class ResourceServerConfiguration extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(final HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/api/**").authenticated()
                .and()
            .httpBasic().disable();
    }

    @Override
    public void configure(ResourceServerSecurityConfigurer resources)  {
        resources
            .resourceId("translate-service");
    }
}

资源服务器属性：

security.oauth2.resource.user-info-uri=http://localhost:8090/user
security.oauth2.resource.token-info-uri=http://localhost:8090/oauth/check_token
security.oauth2.client.client-id=XXXX
security.oauth2.client.client-secret=XXXX

如果我不设置客户端属性，Spring将记录警告：

检测到空客户端ID或客户端机密。需要身份验证的endpoint将以401错误拒绝请求。

和认证将无法工作。

也许我做错了什么，有什么解决方案不在资源服务器中提供client\u id？

Answer 1

如果使用远程令牌服务，则资源服务器也是授权服务器的附加客户端，请参阅OAuth 2开发人员指南：

另一种选择是RemoteTokenServices，它是Spring OAuth的一个功能（不属于规范的一部分），允许资源服务器通过授权服务器上的HTTP资源对令牌进行解码（/OAuth/check_token）<如果资源服务器中没有大量通信量（每个请求都必须通过授权服务器进行验证），或者如果您可以缓存结果，则代码>RemoteTokenServices非常方便。要使用/oauth/check_令牌endpoint，您需要在AuthorizationServerSecurityConfigure中更改其访问规则（默认为“denyAll（）”），例如。

@Override
public void configure(AuthorizationServerSecurityConfigurer oauthServer) throws Exception {
    oauthServer.tokenKeyAccess("isAnonymous() || hasAuthority('ROLE_TRUSTED_CLIENT')").checkTokenAccess(
        "hasAuthority('ROLE_TRUSTED_CLIENT')");
}

在本例中，我们配置了/oauth/check_token终结点和/oauth/token_key终结点（因此可信资源可以获得JWT验证的公钥）。这两个终结点受到使用客户端凭据的HTTP Basic身份验证的保护。

和OAuth2引导：

2.4如何配置令牌信息endpoint

令牌信息终结点，有时也称为内省终结点，可能需要某种客户端身份验证，基本身份验证或承载身份验证。一般来说，SecurityContext中的承载令牌是不够的，因为它与用户绑定在一起。相反，您需要指定代表此客户端的凭据，如下所示：

spring:
  security:
    oauth2:
      client:
        clientId: client-id
        clientSecret: client-secret
      resource:
        tokenInfoUri: https://issuer/oauth2/check_token

默认情况下，这将使用基本身份验证，使用配置的凭据，对令牌信息endpoint进行身份验证。