如何在Spring Boot中整合Spring Boot EnableOAuth2AuthorizationServer实现授权服务？

在微服务与单点登录场景里，把Spring Boot应用升级为OAuth2提供方是常见需求。Spring Boot EnableOAuth2AuthorizationServer注解来自Spring Security OAuth2项目，它能快速开启授权端点、令牌端点与校验端点。理解它的加载机制和配置边界，能少走很多弯路。

依赖引入与注解启用机制

要在Spring Boot中整合EnableOAuth2AuthorizationServer，第一步是引入正确的依赖。旧版体系使用spring-security-oauth2的autoconfigure模块，该模块提供了AuthorizationServerEndpointsConfiguration等自动配置类。当我们在配置类上标注@EnableOAuth2AuthorizationServer时，这些配置类会被激活，向Web容器注册/oauth/authorize、/oauth/token等端点。

需要注意Spring Boot版本与OAuth2依赖的兼容关系。Spring Boot 2.1之前常用spring-security-oauth2 2.3.x，而在较新版本中该依赖已标记为废弃。注解本身只是一个元注解组合，它导入了AuthorizationServerEndpointsConfiguration和AuthorizationServerSecurityConfiguration，后者负责令牌端点的安全过滤链。若项目中同时存在Spring Security的默认表单登录，必须调整过滤器顺序，否则授权码模式的回调会被登录页拦截。

下面是一段典型的启用代码。我们把注解放在独立的配置类上，并让它继承AuthorizationServerConfigurerAdapter以便覆写细节。

@Configuration
@EnableOAuth2AuthorizationServer
public class OAuth2ServerConfig extends AuthorizationServerConfigurerAdapter {

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        // 内存方式配置客户端
        clients.inMemory()
            .withClient("web_app")
            .secret("{noop}secret")
            .authorizedGrantTypes("authorization_code", "password")
            .scopes("read", "write")
            .redirectUris("http://localhost:8080/login/oauth2/code/custom");
    }
}

端点安全与客户端存储方案对比

授权服务器暴露的/oauth/token端点默认只允许通过客户端凭证访问，而/oauth/authorize需要终端用户登录态。EnableOAuth2AuthorizationServer自动生成的security配置中，令牌端点受到clientAuthenticationEntryPoint保护。实践中常犯的错误是把所有请求都交给Spring Security的antMatchers().permitAll()，这会导致令牌端点被匿名调用，任意人都能换取到access_token。

客户端信息存储有两种主流做法。其一是内存存储，如上面代码所示，适合演示与测试，重启即丢失；其二是JDBC存储，引入spring-jdbc并建表oauth_client_details，通过clients.jdbc(dataSource)加载。JDBC方案支持动态增删客户端，但需要处理密码加密方式，例如使用BCrypt，此时secret应写成{bcrypt}加密串而非{noop}明文。

以下示例展示JDBC客户端的配置差异，以及如何在配置中指定token服务属性。对比可见，内存方式代码简单但难以运维，JDBC方式增加了数据库依赖却更贴近生产。

@Override
public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
    clients.jdbc(dataSource)
        .passwordEncoder(new BCryptPasswordEncoder());
}

@Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints) {
    endpoints.tokenStore(new JdbcTokenStore(dataSource));
}

与新版Spring Authorization Server的迁移差异

Spring官方已停止维护spring-security-oauth2中的EnableOAuth2AuthorizationServer，新项目应使用spring-authorization-server模块。新版不再使用@EnableOAuth2AuthorizationServer注解，而是通过@Bean注册AuthorizationServerSettings与RegisteredClientRepository来声明服务。老注解依赖的AuthorizationServerConfigurerAdapter在新体系中不存在，迁移时必须重写过滤器链，用securityMatcher限定/oauth2/开头的路径。

迁移过程中最隐蔽的问题是令牌模型变化。旧版返回的是DefaultOAuth2AccessToken，新版使用OAuth2AccessToken和OAuth2Authorization对象，存储在数据库时需要不同的表结构。如果原有系统用JdbcTokenStore，直接平移表会失败，因为新模块的表名变为oauth2_authorization。此外，旧版的password授权模式在新版中默认不开启，需要显式配置AuthenticationManager并暴露为Bean。

对于暂不能升级的老系统，可以继续使用EnableOAuth2AuthorizationServer，但必须锁定Spring Boot版本并定期排查CVE。下面的代码演示了如何在老项目中暴露AuthenticationManager供密码模式使用，避免报错"Unsupported grant type: password"。

@Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints) {
    endpoints.authenticationManager(authenticationManager)
             .userDetailsService(userDetailsService);
}

@Bean
public AuthenticationManager authenticationManager(
        AuthenticationConfiguration config) throws Exception {
    return config.getAuthenticationManager();
}

理清这些差异后，整合工作就变成明确的配置填坑。无论留存老注解还是切到新框架，核心都是保证客户端可信、端点受保护、令牌可撤销。

Spring BootEnableOAuth2AuthorizationServerOAuth2修改时间：2026-08-22 19:48:51