Spring oauth2：没有授权服务器的资源服务器

Question

我需要了解在我的项目范围内使用autheorizaion服务器的便利性。

我们正在实现我们的服务并将其部署到客户环境中。

1. 客户基础结构已经提供了一种身份验证机制，以便对用户进行身份验证。
2. 此机制拦截所有通信并将用户重定向到“登录”表单。
3. 之后，用户被重定向到我们的服务，我们必须处理和消化它，并使用JWT令牌进行响应。

这是我感到迷茫的地方：

我在想:

1. 使用Spring oauth2 向授权服务器请求 JWT 令牌，或者
2. 使用Spring oauth2 自动生成 JWT 令牌并对其进行验证。我不知道这是否可能。

我的问题是，既然用户已经通过了身份验证，那么使用oAuth2授权服务器，使用客户端凭据来对我们的资源服务进行客户端身份验证是否有意义？

简短的问题是，我可以使用spring-oauth 2 libre ries在没有授权服务器的情况下生成JWT吗？

Answer 1

从技术上讲，你可以做到这一点，但我会劝阻你这样做。系统中的访问令牌应该由专门的服务集中发布。否则，将很难维护基础设施。如果您的服务将开始发布jwt，那么它们也必须为其他人提供公钥来验证这些jwt。密钥管理、访问令牌内容管理以及将用户信息映射到声明的任何规则现在都将成为您的服务的一部分，这将不必要地使其实现复杂化。

如果客户的身份验证机制发出JWT，为什么不使用该机制进行请求授权？如果该机制不足，我建议使用授权服务器（或专用服务），它可以执行令牌交换并将原始JWT交换为新的。