Spring Security JWT和Oauth2

Question

我想使用Spring Security设置一个中央身份验证/授权服务器，从那里我可以获取JWT令牌，然后我可以使用该令牌访问另一个Spring Security备份的REST服务器上的受限资源。

以下是我的流程：

我认为JWT最适合这个场景，因为它可以包含所有相关的数据，并且REST服务器可以是完全无状态的，只需解码令牌就可以获得所有必要的数据(role、clientid、email...)在REST服务器上。

Oauth2是正确的选择吗？如果是的话，有人能给我指出正确的方向吗？如果JWT不是正确的选择，我愿意接受其他解决方案：）我应该提到，在我的情况下，也可以在REST服务器上从数据库加载客户机信息，但它不应该负责对用户进行身份验证（意味着没有用户名/密码检查，只是令牌解码/验证……)

Answer 1

Cloudfoundry UAA是一个开源的OAuth2 Identity Managemennt解决方案(Apache2)，它发布JWT令牌。您可以查看它的实现方式，或者只是自己使用它，或者作为服务器使用，或者只是使用JAR。它实现了Spring OAuth中的一系列现有策略。它还可以有自己的用户数据库，或者您可以实现自己的用户数据库。它有很多选项和扩展点，很多人以各种方式使用它（并不是所有使用Cloudfoundry的方法），因为它被设计成通用的。

Spring OAuth2.0也支持JWT令牌，但它还没有发布（大部分实现来自UAA）。

但是，既然您说您不介意不透明令牌（和数据库查找），那么您可能更愿意在Spring OAuth1.0中使用JDBC支持。在我们转移到JWT之前，它已经在Cloudfoundry中使用了相当长的一段时间，所以我可以在生产中为它做担保。

至于OAuth2对于您的用例是否是一个好的选择：您处于最好的位置来决定这一点。到目前为止你说的都不让我觉得这是个坏主意。如果有帮助的话，我做了一个演示（如果你喜欢的话，你可以在YouTube的SpringSource频道上找到它）。