在Spring Security OAUTH2中使用auth_code grant是否可以进行匿名

Question

我试图用SpringBoot 1.5.13和spring-security-oauth2 2.0.15实现一个OAuth2客户机。

我希望能够授权匿名用户与auth_code GRANT。然而，当我试图完成auth流时，我遇到了一些问题。因为我不想调用任何其他外部服务来获取用户标识信息，所以我使用DefaultTokenServices。DefaultTokenServices需要一个标记存储来进行操作，所以我提供了最简单的标记存储--InmemoryTokenStore。

我尝试了两种方法，但都失败了：

如果我在授权后将用户重定向到OAuth2ClientAuthentationProcessingFilter筛选器上的URL，筛选器将正确地请求并获得访问令牌。然而，它试图做的下一件事是：

OAuth2Authentication result = tokenServices.loadAuthentication(accessToken.getValue());

if (auth instanceof AnonymousAuthenticationToken) {
    if (!resource.isClientOnly()) {
        throw new InsufficientAuthenticationException(
                "Authentication is required to obtain an access token (anonymous not allowed)");
    }
}

编辑：我尝试使用自己的AccesStokenProviderChain实现，它简单地省略了这个检查，以及与ClientTokenServices相关的部分，乍一看似乎可以工作。但我不确定这是否是一种正确的方法，足以用于多租户（多个匿名并发用户通过多个OAuth2提供程序进行授权）。

显然我的auth是匿名的auth，我需要一个匿名的auth流！我知道在Spring Security 5.2.x中这是完全可能的，但我不明白在Spring-Security-oauth2中如何做到这一点？

是否不能使用auth_code grant进行匿名授权？

Answer 1

因此，匿名auth似乎不可能与OAuth2 auth_code grant一起使用，如以下开放错误:https://github.com/spring-projects/spring-security-oauth/issues/1842

我已经解决了这个问题，放弃了spring security oauth库，转而使用ScribeJava。