创建隐式JWT时Spring BootOAuth2？

Question

如何将OAuth2 SSO主体的详细信息获取到我的JWT中？（Oauth2AuthenticationGetDetails实例作为Oauth2AuthenticationDetailsGetDecodedDetails返回NULL)

我有...

>

Angular 6客户端（隐式登录为Acme客户端）（使用Angular-oauth2-oidc)

Spring BootOAuth2授权服务器，带有JWTTokenService配置，第三方SSO到GitHub

身份验证服务器配置为acme作为implicit和用于SSO的GitHub客户端

null

• 直接获得一个主体，它包含GitHub的所有详细信息(yay)
• 通过授权：承载...头传递令牌的Angular应用程序间接地提供了一个主体，它包含Acme客户端(ugh)
的最低OAuth客户端信息

我尝试过自定义的标记增强器，但oauth2authentication实例已经是最小的实例，没有详细信息。而且，当从Angular发起调用时，它的会话cookie与我直接调用它时的会话cookie不一样（我不想共享会话--我想把细节放在JWT中）。

[更新#1]

final JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
converter.setAccessTokenConverter(new CustomTokenConverter());

Answer 1

Spring Lemon实现这一点的方法是替换OAuth2和OpenID连接用户服务（参见Spring security文档）。有关详细信息，请参阅LemonoAuth2UserService和LemonoIdcUserService。对于无状态，它将一个短命的JWT令牌作为param传递给客户端到targetUrl，您可以在其oauth2authenticationsuccesshandler类中看到。它使用一些cookies机制来无状态地执行所有这些操作，通过查看它的HttpCookieOuth2AuthorizationRequestRepository以及它是如何配置的，可以进一步理解这一点。

这里有一篇文章对此进行了更详细的解释:https://www.naturalprogrammer.com/blog/1681261/spring-security-5-oauth2-login-signup-stateless-restful-web-services。