Как декодировать и проверить настроенный JWT с сервера авторизации Spring на Spring Resource Server?

В своем последнем комментарии вы описали использование только MySQL, и я думаю, что это имеет смысл. Я не вижу, чтобы Redis вписывался в этот сценарий. Итак, поток:

1. На сервере авторизации вы используете OAuth2TokenCustomizer<JwtEncodingContext>, чтобы добавить поле authority в JWT (например, ROLE_xyz).
2. На сервере ресурсов вы используете JwtGrantedAuthoritiesConverter для сопоставления поля authority JWT с authentication.getAuthorities() в Spring Security.

Проблема заключается в том, что в вашей БД вы сопоставляете роли непосредственно с набором разрешенных URL-адресов (например, ROLE_xyz => POST /customer, ...). Возможно, вы имеете дело с существующей схемой базы данных и не можете спроектировать данные или отношения с нуля. Я ожидаю сопоставления ролей с набором разрешений (например, ROLE_xyz => customer.write, ...).

Если у вас есть такая схема разрешений, вы можете выполнить поиск в JwtGrantedAuthoritiesConverter выше и вместо этого сопоставить эти разрешения как полномочия.

Однако, если данные в MySQL сопоставляют роли с шаблонами URL-адресов, лучше всего использовать AuthorizationManager API для интеграции авторизации с вашей таблицей MySQL (для примера см. Настройка RequestMatcherDelegatingAuthorizationManager в разделе Авторизация запросов HttpServletRequests с помощью AuthorizationFilter).

Пользовательский AuthorizationManager может быть реализован для поиска ROLE_xyz и динамического создания списка правил авторизации с помощью RequestMatcherDelegatingAuthorizationManager.builder().

Например:

@Configuration
@EnableWebMvc
@EnableWebSecurity
public class SecurityConfiguration {

    @Bean
    SecurityFilterChain securityFilterChain(HttpSecurity http, AuthorizationManager<RequestAuthorizationContext> access)
            throws Exception {
        // @formatter:off
        http
            .authorizeHttpRequests((authorize) -> authorize
                .anyRequest().access(access)
            )
            .oauth2ResourceServer(OAuth2ResourceServerConfigurer::jwt);
        // @formatter:on

        return http.build();
    }

    @Bean
    AuthorizationManager<RequestAuthorizationContext> authorizationManager(
            HandlerMappingIntrospector introspector) {
        MvcRequestMatcher.Builder mvcMatcherBuilder = new MvcRequestMatcher.Builder(introspector);
        RequestMatcher anyRequest = AnyRequestMatcher.INSTANCE;

        AuthorizationManager<RequestAuthorizationContext> authenticated =
            AuthenticatedAuthorizationManager.authenticated();
        AuthorizationManager<RequestAuthorizationContext> denyAll =
            (a, c) -> new AuthorizationDecision(false);

        return (supplier, context) -> {
            Authentication authentication = supplier.get();
            HttpServletRequest request = context.getRequest();

            // TODO: Look up mappings in MySQL using authentication.getAuthorities()...

            RequestMatcherDelegatingAuthorizationManager.Builder builder =
                RequestMatcherDelegatingAuthorizationManager.builder();

            // TODO: Add custom mappings from MySQL...
            //builder.add(mvcMatcherBuilder.pattern("/customer/**"), authenticated);

            RequestMatcherDelegatingAuthorizationManager delegate =
                builder.add(anyRequest, denyAll).build();

            return delegate.check(() -> authentication, request);
        };
    }

}

Это может показаться сложным, но ваша схема авторизации (с использованием OAuth2 + JWT И ролей/полномочий И MySQL для управления ролями) представляет собой довольно сложную настройку. API AuthorizationManager на самом деле делает его проще, чем в более ранних версиях Spring Security.

Также обратите внимание, что в приведенном выше примере предполагается, что сопоставления ролей в базе данных могут изменяться во время выполнения, и поэтому их необходимо просматривать каждый раз. Если это не так, пример можно изменить, чтобы загружать данные из MySQL только при запуске. Производительность поиска MySQL также может быть улучшена с помощью кэширования, если это необходимо.