spring-security-oauth2 - Spring OIDC 支持 JWKS 旋转

Question

Spring Security OIDC 客户端是否支持自动 JWK 密钥轮换？如果是，如何配置刷新频率？该文档指出“当授权服务器提供新密钥时，Spring Security 将自动轮换用于验证 JWT 令牌的密钥。”，但它没有提供有关如何配置刷新频率的信息。

标签： spring-security-oauth2

Answer 1

是的，Spring Security 支持 OIDC 客户端的自动 JWK 密钥轮换。该功能包含在RemoteJWKSet（查看源代码）中。Javadoc 指出：

由 JWK 集 URL 指定的远程 JSON Web 密钥 (JWK) 源。检索到的 JWK 集被缓存以最小化网络调用。每当键选择器尝试获取具有未知 ID 的键时，都会更新缓存。

配置刷新频率已在60409678中讨论。