如何在spring security oauth2中分离访问令牌和刷新令牌endpoint

Question

在spring security oauth2中，get access令牌和refresh令牌使用相同的endpoint'/OAuth/token'，并由参数grant_type'code'或'refresh_token'识别。

        if (isAuthCodeRequest(parameters)) {
            // The scope was requested or determined during the authorization step
            if (!tokenRequest.getScope().isEmpty()) {
                logger.debug("Clearing scope of incoming token request");
                tokenRequest.setScope(Collections.<String> emptySet());
            }
        }

        if (isRefreshTokenRequest(parameters)) {
            // A refresh token has its own default scopes, so we should ignore any added by the factory here.
            tokenRequest.setScope(OAuth2Utils.parseParameterList(parameters.get(OAuth2Utils.SCOPE)));
        }

但是我想将这个endpoint分成两个，比如'oauth/access_token'用于get访问令牌，'oauth/refresh_token'用于refreh访问令牌。我该怎么做呢？

我曾尝试编写自定义endpoint类，并注册bean来覆盖默认的TokenEndpoint，但似乎没有很好地工作。

Answer 1

您可以为access token和refresh token创建两个rest控制器方法，并使用rest模板在相关控制器方法中对OAUTH/tokenendpoint进行标准调用。

@RestController
public class TokenController {

    @RequestMapping("oauth/access_token")
    public TokenResponse getAccessToken() {
        //use rest template or httpclient to call to oauth/token and return converted TokenResponse
    }

    @RequestMapping("oauth/refresh_token")
    public TokenResponse getRefreshToken() {
        //use rest template or httpclient to call to oauth/token and return converted TokenResponse
    }
}