如何：在JWT访问令牌中添加权限作为自定义声明

本指南演示了如何将资源所有者的权限添加到JWT访问令牌中。术语“权限”可以表示各种形式，如角色、权限或资源所有者的组。

为了使资源所有者的权限对资源服务器可用，我们向访问令牌添加自定义声明。当客户端使用访问令牌访问受保护的资源时，资源服务器将能够获取有关资源所有者访问级别的信息，以及其他潜在的用途和好处。

向JWT访问令牌添加自定义声明

您可以使用OAuth2TokenCustomizer<JWTEncodingContext> @Bean向访问令牌添加自定义声明。请注意，此@Bean只能定义一次，因此必须确保您正在自定义适当的令牌类型 — 在本例中为访问令牌。如果您有兴趣自定义ID令牌，请参阅有关用户信息映射器指南的更多信息。

以下是向访问令牌添加自定义声明的示例 — 换句话说，授权服务器签发的每个访问令牌都将填充自定义声明。

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.oauth2.server.authorization.OAuth2TokenType;
import org.springframework.security.oauth2.server.authorization.token.JwtEncodingContext;
import org.springframework.security.oauth2.server.authorization.token.OAuth2TokenCustomizer;

@Configuration
public class CustomClaimsConfiguration {
	@Bean
	public OAuth2TokenCustomizer<JwtEncodingContext> jwtTokenCustomizer() {
		return (context) -> {
			if (OAuth2TokenType.ACCESS_TOKEN.equals(context.getTokenType())) {
				context.getClaims().claims((claims) -> {
					claims.put("claim-1", "value-1");
					claims.put("claim-2", "value-2");
				});
			}
		};
	}
}

将权限作为自定义声明添加到JWT访问令牌

要将资源所有者的权限添加到JWT访问令牌中，我们可以参考上面的自定义声明映射方法，并使用Principal的权限填充自定义声明。

我们为演示目的定义了一个带有一组权限的示例用户，并在访问令牌中填充一个自定义声明以包含这些权限。

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.core.authority.AuthorityUtils;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.oauth2.server.authorization.OAuth2TokenType;
import org.springframework.security.oauth2.server.authorization.token.JwtEncodingContext;
import org.springframework.security.oauth2.server.authorization.token.OAuth2TokenCustomizer;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;

import java.util.Collections;
import java.util.Set;
import java.util.stream.Collectors;

@Configuration
public class CustomClaimsWithAuthoritiesConfiguration {
	@Bean
	public UserDetailsService users() {
		UserDetails user = User.withDefaultPasswordEncoder()
				.username("user1") (1)
				.password("password")
				.roles("user", "admin") (2)
				.build();
		return new InMemoryUserDetailsManager(user);
	}

	@Bean
	public OAuth2TokenCustomizer<JwtEncodingContext> jwtTokenCustomizer() { (3)
		return (context) -> {
			if (OAuth2TokenType.ACCESS_TOKEN.equals(context.getTokenType())) { (4)
				context.getClaims().claims((claims) -> { (5)
					Set<String> roles = AuthorityUtils.authorityListToSet(context.getPrincipal().getAuthorities())
							.stream()
							.map(c -> c.replaceFirst("^ROLE_", ""))
							.collect(Collectors.collectingAndThen(Collectors.toSet(), Collections::unmodifiableSet)); (6)
					claims.put("roles", roles); (7)
				});
			}
		};
	}
}
1 定义一个带有内存中UserDetailsService的示例用户user1。
2 为user1分配角色。
3 定义一个允许自定义JWT声明的OAuth2TokenCustomizer<JwtEncodingContext> @Bean。
4 检查JWT是否为访问令牌。
5 通过JwtEncodingContext访问默认声明。
6 从Principal对象中提取角色。角色信息存储为以ROLE_为前缀的字符串，因此我们在此处去除前缀。
7 将自定义声明roles设置为从上一步收集的角色集合。

通过此自定义，用户的权限信息将作为访问令牌中的自定义声明包含在内。