Spring Authorization Server 实战：如何在JWT访问令牌中添加自定义权限声明-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00463/article/details/148507953

Spring Authorization Server 实战：如何在JWT访问令牌中添加自定义权限声明

spring-authorization-server Spring Authorization Server 项目地址: https://gitcode.com/gh_mirrors/sp/spring-authorization-server

前言

在现代OAuth2.0授权体系中，JWT(JSON Web Token)已成为访问令牌的标准格式之一。Spring Authorization Server作为新一代的授权服务器实现，提供了灵活的JWT自定义能力。本文将深入讲解如何在JWT访问令牌中添加自定义权限声明，帮助资源服务器更好地理解用户的访问权限。

核心概念解析

在开始技术实现前，我们需要明确几个关键概念：

JWT访问令牌：采用JSON格式的令牌，包含头部(Header)、载荷(Payload)和签名(Signature)三部分
自定义声明(Custom Claims)：JWT载荷中除标准声明(如iss, sub等)外，开发者自定义的键值对
权限(Authorities)：代表用户拥有的角色、权限或组信息，如"ROLE_ADMIN"、"read:data"等

基础实现：添加自定义声明

Spring Authorization Server提供了OAuth2TokenCustomizer<JWTEncodingContext>接口，允许我们自定义JWT内容。以下是基础实现步骤：

@Configuration
public class CustomClaimsConfiguration {
    
    @Bean
    public OAuth2TokenCustomizer<JwtEncodingContext> jwtCustomizer() {
        return context -> {
            if (OAuth2TokenType.ACCESS_TOKEN.equals(context.getTokenType())) {
                context.getClaims().claims(claims -> {
                    claims.put("custom-claim", "custom-value");
                });
            }
        };
    }
}

关键点说明：

通过OAuth2TokenType.ACCESS_TOKEN判断当前定制的是访问令牌
使用context.getClaims()获取JWT声明构建器
claims.put()方法添加自定义声明

进阶实现：添加权限声明

实际业务中，我们更常需要将用户权限信息包含在令牌中。以下是完整实现方案：

@Configuration
public class CustomClaimsWithAuthoritiesConfiguration {
    
    // 1. 定义示例用户
    @Bean
    public UserDetailsService users() {
        UserDetails user = User.withUsername("user1")
            .password("{noop}password")
            // 2. 分配角色
            .roles("USER", "ADMIN")
            .build();
        return new InMemoryUserDetailsManager(user);
    }
    
    // 3. 定义JWT定制器
    @Bean
    public OAuth2TokenCustomizer<JwtEncodingContext> jwtCustomizer() {
        return context -> {
            // 4. 检查是否为访问令牌
            if (OAuth2TokenType.ACCESS_TOKEN.equals(context.getTokenType())) {
                // 5. 获取声明构建器
                context.getClaims().claims(claims -> {
                    // 6. 从Principal提取角色
                    Set<String> roles = context.getPrincipal().getAuthorities().stream()
                        .map(GrantedAuthority::getAuthority)
                        .map(authority -> authority.replace("ROLE_", ""))
                        .collect(Collectors.toSet());
                    
                    // 7. 设置自定义角色声明
                    claims.put("roles", roles);
                });
            }
        };
    }
}

技术要点解析：