Spring OAuth2 授权服务器多 JWK 密钥管理与多租户实践

本教程探讨 spring oauth2 授权服务器中管理多个 jwk 密钥的挑战与解决方案。当需要在不同流程中使用不同密钥签署 jwt 时，默认配置可能导致 `found multiple jwk signing keys` 异常。文章将深入分析问题根源，并提出通过部署多个授权服务器实例，结合资源服务器的多租户支持（如使用 `jwtissuerauthenticationmanagerresolver` 或 spring addons 库）来实现不同密钥签名的策略，确保系统在多密钥场景下的安全与灵活性。

Spring OAuth2 授权服务器中的 JWK 密钥管理挑战

在构建基于 OAuth2 的安全系统中，有时会遇到需要在不同的客户端凭据流程中使用不同的 JWT 签名密钥的需求。例如，某些关键业务流可能需要更强的密钥或独立的密钥生命周期。Spring OAuth2 Authorization Server (版本 1.0.0) 提供了一种机制来配置 JWK (JSON Web Key) 密钥集，通常通过 JWKSet Bean 来暴露公钥。然而，当尝试在同一个授权服务器实例中配置多个用于相同算法（如 RS256）的签名密钥时，系统在生成 JWT 时可能会抛出 org.springframework.security.oauth2.jwt.JwtEncodingException: An error occurred while attempting to encode the Jwt: Found multiple JWK signing keys for algorithm ‘RS256’ 异常。

异常分析：为何不能直接使用多个签名密钥？

这个异常的根源在于 NimbusJwtEncoder 在进行 JWT 编码（签名）时，其内部的密钥选择逻辑。尽管 JWK Set (RFC 7517) 规范允许在一个 JWK Set 中包含多个密钥，但对于 JWT 的 签名 操作，编码器需要明确地选择一个密钥来完成签名。当 JWKSet 中包含多个具有相同算法类型（例如 RS256）且未通过 kid (Key ID) 或其他属性明确区分的签名密钥时，NimbusJwtEncoder 无法自动判断应该使用哪个密钥进行签名，从而导致上述异常。

简而言之，JWKS 端点可以暴露所有可用的公钥，供资源服务器验证 JWT 时使用（资源服务器会尝试匹配 kid 或遍历密钥）。但对于授权服务器而言，在生成 JWT 时，必须且只能选择一个私钥进行签名。如果存在多个私钥且没有明确的选择机制，就会出现歧义。

解决方案：多授权服务器实例与资源服务器多租户

鉴于单个授权服务器实例在默认情况下难以根据请求上下文动态选择不同的签名密钥，推荐的解决方案是采用“多授权服务器实例”的架构，并辅以资源服务器的“多租户支持”。

1. 部署多个独立的授权服务器实例

核心思想： 不在单个授权服务器中管理和动态选择多个签名密钥，而是部署多个独立的 Spring OAuth2 Authorization Server 实例。每个实例配置其专属的 JWK 签名密钥。

实现方式：

为每个需要独立签名密钥的业务流或客户端组，部署一个独立的 Spring OAuth2 Authorization Server 应用。每个授权服务器实例在其配置中只包含一个用于签名的 JWK 密钥（或一组用于轮换但具有明确 kid 的密钥）。客户端根据其业务需求，连接到特定的授权服务器实例以获取 JWT。例如，客户端 A 总是请求 AS-1 颁发的令牌，客户端 B 总是请求 AS-2 颁发的令牌。

优点：

隔离性强： 密钥管理、配置和生命周期相互独立，降低了风险。职责单一： 每个 AS 实例只负责其特定发行者的令牌。易于理解和实现： 避免了复杂的动态密钥选择逻辑。

缺点：

运维复杂性增加： 需要管理和部署多个授权服务器实例。资源消耗： 增加了服务器资源的使用。

2. 资源服务器的多租户支持

当存在多个授权服务器实例时，每个实例都会成为一个独立的“发行者”（Issuer）。资源服务器需要能够验证来自不同发行者的 JWT。Spring Security 提供了 JwtIssuerAuthenticationManagerResolver 来解决这个问题。

核心组件：JwtIssuerAuthenticationManagerResolver

JwtIssuerAuthenticationManagerResolver 允许资源服务器根据传入 JWT 的 iss (Issuer) 声明，动态地选择合适的 AuthenticationManager 来验证令牌。这意味着资源服务器可以配置为信任多个授权服务器（发行者），并为每个发行者应用不同的验证策略（例如，从不同的 JWKS URI 获取公钥）。

配置示例：

在资源服务器的 SecurityFilterChain 配置中，您需要注入并使用 JwtIssuerAuthenticationManagerResolver。

凹凸工坊-AI手写模拟器

AI手写模拟器，一键生成手写文稿

500 查看详情

import org.springframework.context.annotation.Bean;import org.springframework.context.annotation.Configuration;import org.springframework.security.config.annotation.web.builders.HttpSecurity;import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;import org.springframework.security.oauth2.server.resource.authentication.JwtAuthenticationConverter;import org.springframework.security.oauth2.server.resource.authentication.JwtAuthenticationProvider;import org.springframework.security.oauth2.server.resource.authentication.JwtIssuerAuthenticationManagerResolver;import org.springframework.security.web.SecurityFilterChain;import java.util.HashMap;import java.util.Map;@Configuration@EnableWebSecuritypublic class ResourceServerConfig {    @Bean    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {        // 配置一个 Map，将发行者 URI 映射到其对应的 JwtAuthenticationProvider        Map authenticationProviders = new HashMap();        // 假设有两个授权服务器实例，分别位于不同的 URI        // AS-1        authenticationProviders.put("https://as1.example.com", new JwtAuthenticationProvider(            // 这里可以配置 JwtDecoder，例如从 https://as1.example.com/.well-known/jwks.json 获取密钥            // 实际应用中，JwtDecoder 通常通过 OAuth2ResourceServerConfigurer.jwt() 自动配置            // 或者自定义 JwtDecoder bean            // For simplicity, we create a basic JwtAuthenticationProvider            // In a real app, you'd configure the JwtDecoder more robustly            // e.g., using NimbusJwtDecoder.withJwkSetUri("https://as1.example.com/oauth2/jwks").build()            // Here we just use a placeholder.            // Note: Directly instantiating JwtAuthenticationProvider might not be ideal.            // A more robust approach is to configure JwtDecoder per issuer.            // The JwtIssuerAuthenticationManagerResolver handles this internally if configured correctly.            // For demonstration, let's assume JwtDecoder is implicitly handled by the resolver.            // A better way is to use a lambda or method reference to create AuthenticationManager per issuer.            // For JwtIssuerAuthenticationManagerResolver, you usually pass a Function            // or a Map.            // Correct approach for JwtIssuerAuthenticationManagerResolver:            // Define a function that creates an AuthenticationManager for a given issuer            issuer -> {                // Here, you would create a JwtDecoder for the specific issuer                // For example:                // JwtDecoder decoder = NimbusJwtDecoder.withIssuerLocation(issuer).build();                // JwtAuthenticationProvider provider = new JwtAuthenticationProvider(decoder);                // provider.setJwtAuthenticationConverter(new JwtAuthenticationConverter());                // return provider;                // For simplicity, let's just return a placeholder.                // Spring Boot's auto-configuration for resource servers can simplify this.                // The resolver will internally manage decoders for known issuers.                return null; // This will be handled by the resolver's internal logic            }        ));        // AS-2        authenticationProviders.put("https://as2.example.com", new JwtAuthenticationProvider(            // Similar JwtDecoder configuration for AS-2            issuer -> null // Placeholder        ));        // 构造 JwtIssuerAuthenticationManagerResolver        // Spring Security 6+ 推荐使用 Lambda 表达式或方法引用来创建 AuthenticationManager        // for each issuer, rather than pre-creating providers in a map.        // This allows dynamic creation and caching.        JwtIssuerAuthenticationManagerResolver authenticationManagerResolver =                new JwtIssuerAuthenticationManagerResolver(                        issuer -> {                            // This function is called for each unique issuer found in a JWT.                            // You can dynamically configure a JwtDecoder for this issuer.                            // For example, fetch JWKS from issuer + "/oauth2/jwks"                            // Or from .well-known/openid-configuration                            return new JwtAuthenticationProvider(                                    // NimbusJwtDecoder.withIssuerLocation(issuer).build() is a common way                                    // It automatically discovers JWKS URI from .well-known/openid-configuration                                    // or assumes /oauth2/jwks if not specified.                                    // For this example, let's assume it works.                                    // Make sure to add a JwtAuthenticationConverter if you need custom authority mapping.                                    // JwtAuthenticationConverter converter = new JwtAuthenticationConverter();                                    // return new ProviderManager(new JwtAuthenticationProvider(NimbusJwtDecoder.withIssuerLocation(issuer).build()));                                    // For simplicity, let's return a simple JwtAuthenticationProvider for now.                                    // In a real application, you'd use a more robust JwtDecoder.                                    NimbusJwtDecoder.withIssuerLocation(issuer).build()                            );                        },                        // You can also provide a list of trusted issuers directly.                        // Or use a Map if you have static configurations.                        // For dynamic discovery, the Function is more flexible.                        "https://as1.example.com", "https://as2.example.com" // List of trusted issuers                );        http            .authorizeHttpRequests(authorize -> authorize                .anyRequest().authenticated()            )            .oauth2ResourceServer(oauth2 -> oauth2                .authenticationManagerResolver(authenticationManagerResolver)            ); // 将解析器应用到资源服务器配置        return http.build();    }}

注意事项：

JwtIssuerAuthenticationManagerResolver 会根据 JWT 中的 iss 声明来查找对应的 AuthenticationManager。因此，授权服务器颁发的 JWT 必须包含正确的 iss 声明。资源服务器需要能够访问每个授权服务器的 JWKS 端点（通常通过 issuer URI 和 .well-known/openid-configuration 或 /oauth2/jwks 路径）。您可以根据需要为每个发行者配置不同的 JwtAuthenticationConverter 来处理权限映射。

3. 简化多租户配置：使用 Spring Addons 库

对于更复杂的或需要快速实现多租户资源服务器的场景，可以考虑使用第三方库，例如 ch4mpy/spring-addons。这个库提供了一些便捷的抽象，可以简化多发行者（多租户）资源服务器的配置。

Maven 依赖：

根据您的 Spring Boot 版本和应用类型（WebMVC 或 WebFlux），选择合适的依赖。

    com.c4-soft.springaddons                spring-addons-webmvc-jwt-resource-server            6.0.7

配置示例：

使用 spring-addons 库后，您可以通过 application.properties 或 application.yml 文件来配置多个发行者，而无需编写复杂的 JwtIssuerAuthenticationManagerResolver Bean。

# 启用方法安全spring.security.oauth2.resourceserver.jwt.jwk-set-uri=# 如果使用 spring-addons，可以清空默认的 jwk-set-uri，由 addons 管理# 配置第一个发行者 (AS-1)com.c4-soft.springaddons.security.issuers[0].location=https://as1.example.comcom.c4-soft.springaddons.security.issuers[0].authorities.claims=groups,roles # 从哪些 JWT 声明中提取权限# 配置第二个发行者 (AS-2)com.c4-soft.springaddons.security.issuers[1].location=https://as2.example.comcom.c4-soft.springaddons.security.issuers[1].authorities.claims=groups,roles# 其他安全配置，例如 CORScom.c4-soft.springaddons.security.cors[0].path=/some-api

启用方法安全：

确保您的资源服务器应用类上启用了方法安全。

import org.springframework.context.annotation.Configuration;import org.springframework.security.config.annotation.method.configuration.EnableMethodSecurity;@Configuration@EnableMethodSecurity // 启用方法级别的安全注解，如 @PreAuthorizepublic class WebSecurityConfig { }

spring-addons 库会自动根据这些配置创建并管理 JwtIssuerAuthenticationManagerResolver，大大简化了多发行者资源服务器的配置。

总结与最佳实践

在 Spring OAuth2 Authorization Server 中，直接在单个实例中根据请求动态选择不同的 JWK 私钥进行签名是一个复杂且不被默认支持的场景，主要原因是 NimbusJwtEncoder 在签名时需要明确的密钥选择。

为了实现不同流程使用不同签名密钥的需求，推荐的架构是：

部署多个授权服务器实例： 每个实例配置一个或一组特定的 JWK 密钥，作为独立的发行者。资源服务器实现多租户支持： 使用 Spring Security 提供的 JwtIssuerAuthenticationManagerResolver 或像 spring-addons 这样的第三方库，使资源服务器能够验证来自不同发行者的 JWT。

这种架构虽然增加了授权服务器的部署数量，但提供了更好的隔离性、清晰的职责划分和更简单的密钥管理策略。在设计系统时，应综合考虑业务需求、运维成本和安全性，选择最合适的方案。同时，密钥的轮换和管理策略也应在多实例环境中得到妥善规划。

以上就是Spring OAuth2 授权服务器多 JWK 密钥管理与多租户实践的详细内容，更多请关注创想鸟其它相关文章！