Resource Server

这一课你将能做到

1. 配置 spring-boot-starter-oauth2-resource-server，用 issuer-uri 自动发现 JWKS，校验传入的 Bearer access_token
2. 区分 JWT 本地验签与 opaque token introspection 两种模式，知道何时选哪个
3. 用 @PreAuthorize("hasAuthority('SCOPE_xxx')") 做 scope 级控制，并与本站自研 JWT 保护的路径分区共存

为什么要学

Client 负责拿票；Resource Server 负责验票。当你对外开放 API——第三方应用拿着授权服务器发的 access_token 来调你的 /api/v1/tracks——你的 backend 就切换成了 Resource Server 角色：验签、看 scope、执行业务。

它与上一课是同一枚硬币的两面（一个去别人那登录，一个验证别人的票），也和本站自研 JWT 的验签逻辑同源——区别只在发行方变成了标准 IdP、授权语言变成了 scope、验签公钥来自 IdP 的 JWKS 而不是你自己的密钥。

面试角度：「JWT 怎么验」「为什么用 issuer-uri 而不是手填 jwks-uri」「RS 与 Client 能否共存」都是开放 API 场景的常考题。

先建立图像

外部 Client（第三方应用）
  │  Authorization: Bearer eyJ...
  ▼
你的 API（Resource Server）
  │ ① 取 token：解析 Authorization 头，格式不对 → 401
  │ ② 验签：用 iss 对应的 JWKS 公钥验签名，伪造/过期/aud 不符 → 401
  │ ③ 看授权：scope/权限够不够？不够 → 403
  │ ④ 执行 Controller
  ▼
200 业务成功

两种校验模式：

方式	适用 token	特点
JWT 本地验签	JWT 形态的 access_token	快，无网络往返；信任 iss + JWKS；撤销靠短寿命
Introspection	不透明（opaque）token	每次询问授权服务器「这票有效吗、scope 是啥」；可加缓存

跟着做

步骤 1：加依赖

<!-- 中文注释：Resource Server 与 Client 可同时存在，但职责与配置完全不同 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>

步骤 2：配置 issuer

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: https://auth.example.com
          # Boot 启动时访问 {issuer-uri}/.well-known/openid-configuration
          # 自动拿到 jwks_uri；也可显式配 jwk-set-uri 跳过发现

步骤 3：独立一条 Resource Server 链（与自研 JWT 链分区）

package com.example.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.HttpMethod;
import org.springframework.security.config.Customizer;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class ResourceServerSecurityConfig {

    @Bean
    public SecurityFilterChain apiChain(HttpSecurity http) throws Exception {
        http
            .securityMatcher("/api/v1/**")                    // 只管开放 API 前缀
            .authorizeHttpRequests(auth -> auth
                .requestMatchers(HttpMethod.GET, "/api/v1/public/**").permitAll()
                .anyRequest().authenticated())
            .oauth2ResourceServer(oauth -> oauth.jwt(Customizer.withDefaults()))
            .sessionManagement(s -> s.sessionCreationPolicy(SessionCreationPolicy.STATELESS));
        return http.build();
    }
}