spring-security - Spring oauth2 验证令牌请求

Question

oauth2RestTemplate 或访问令牌提供程序是否支持验证令牌请求？

这是流程：

1. Mobile/Web-App 从第三方认证服务器认证并获得 Access-Token。
2. 用户尝试访问受保护的资源，并按照协议的预期在请求中传递了访问令牌。

是否可以针对第三方服务器检查此令牌？

我在这里 以刷新令牌的形式发现了一些相似之处。

验证请求是 OAuth2 标准的一部分吗？

谢谢

Answer 1

不，OAuth2 不强制使用特定的令牌格式或 API 来验证令牌。这是必须在资源服务器和授权服务器之间独立决定的事情。

例如，使用 Spring Security OAuth2的UAA项目使用签名的JWT令牌，因此资源服务器可以验证内容，而无需直接询问授权服务器。它还提供了一个/check_token端点，它将解码令牌并验证它没有过期。