OAuth 2.0 资源服务器承载令牌

DeepSeek V3 中英对照 Bearer Tokens OAuth 2.0 Resource Server Bearer Tokens

Bearer Token 解析

默认情况下，资源服务器会在 Authorization 头部中查找承载令牌。不过，您可以验证此令牌。

例如，您可能需要从自定义标头中读取承载令牌。为此，您可以将 ServerBearerTokenAuthenticationConverter 的实例配置到 DSL 中：

Java

ServerBearerTokenAuthenticationConverter converter = new ServerBearerTokenAuthenticationConverter();
converter.setBearerTokenHeaderName(HttpHeaders.PROXY_AUTHORIZATION);
http
    .oauth2ResourceServer((oauth2) -> oauth2
        .bearerTokenConverter(converter)
    );

Kotlin

val converter = ServerBearerTokenAuthenticationConverter()
converter.setBearerTokenHeaderName(HttpHeaders.PROXY_AUTHORIZATION)
return http {
    oauth2ResourceServer {
        bearerTokenConverter = converter
    }
}

Bearer Token 传播

现在您已经拥有了一个承载令牌，可以将其传递给下游服务。这可以通过 ServerBearerExchangeFilterFunction 实现：

Java

@Bean
public WebClient rest() {
    return WebClient.builder()
            .filter(new ServerBearerExchangeFilterFunction())
            .build();
}

Kotlin

@Bean
fun rest(): WebClient {
    return WebClient.builder()
            .filter(ServerBearerExchangeFilterFunction())
            .build()
}

当上述示例中的 WebClient 执行请求时，Spring Security 会查找当前的 Authentication 并提取任何 AbstractOAuth2Token 凭据。然后，它会将该令牌传播到 Authorization 请求头中，例如：

Java

this.rest.get()
        .uri("https://other-service.example.com/endpoint")
        .retrieve()
        .bodyToMono(String.class)

Kotlin

this.rest.get()
        .uri("https://other-service.example.com/endpoint")
        .retrieve()
        .bodyToMono<String>()

前面的例子调用了 [other-service.example.com/endpoint](https://other-service.example.com/endpoint)，并自动为你添加了承载令牌 Authorization 请求头。

在需要覆盖此行为的地方，您可以自行提供标头：

Java

this.rest.get()
        .uri("https://other-service.example.com/endpoint")
        .headers((headers) -> headers.setBearerAuth(overridingToken))
        .retrieve()
        .bodyToMono(String.class)

Kotlin

rest.get()
        .uri("https://other-service.example.com/endpoint")
        .headers { it.setBearerAuth(overridingToken) }
        .retrieve()
        .bodyToMono<String>()

在这种情况下，过滤器会将请求回退并转发到Web过滤器链的其余部分。

备注

与 OAuth 2.0 客户端过滤器函数 不同，此过滤器函数在令牌过期时不会尝试续订。