1、简介 Spring Authorization Server（授权服务器）自带一系列合理的默认设置，开箱即用。
但是，它还有一个功能，默认下没有启动：态客户端注册。本文将带你了解如何在客户端应用中启用和使用它。
2、为什么使用动态注册？ 当基于 OAuth2 的客户端应用（在 OIDC 术语中称为依赖方）启动认证流程时，它将自己的客户端标识符发送给身份提供者（Provider）。
一般情况下，这个标识符是通过外部流程（如邮件发送等其他手段）发放给客户端的，客户端随后将其添加到配置中，并在需要时使用。
例如，在使用 Azure 的 EntraID 或 Auth0 等流行的身份提供商（Identity Provider）解决方案时，我们可以使用管理控制台或 API 来配置新客户端。在此过程中，我们需要告知应用名称、授权回调 URL、支持的作用域等信息。
提供所需信息后，我们会得到一个新的客户端标识符，对于所谓的 “secret” 客户端，还将得到一个 client secret。然后，我们将这些信息添加到应用的配置中，就可以开始部署了。
现在，当我们应用不多，或者总是使用单一的一个身份供应商时（Identity Provider），这种方式就能正常工作。但对于更复杂的情况，注册过程需要是动态的，这就是 OpenID Connect 动态客户端注册规范 的用武之地。
在现实世界中，英国的 OpenBanking 标准就是一个很好的例子，该标准将动态客户注册作为其核心协议之一。
3、动态注册是如何实现的？ OpenID Connect 标准使用一个注册 URL，客户端使用该 URL 注册自己。注册是通过 POST 请求完成的，该请求包含一个 JSON 对象，其中有执行注册所需的客户端元数据。
重要的是，访问注册端点需要身份认证，通常是一个 Bearer Token。当然，这就引出了一个问题：想成为客户端的人如何获得用于此操作的 Token？
遗憾的是，答案并不明确。一方面，规范指出端点是受保护的资源，因此需要某种形式的身份认证。另一方面，它也提到了开放注册端点的可能性。
对于 Spring 授权服务器来说，注册需要一个具有 client.create scope 的 Bearer Token。要创建该令牌，我们需要使用常规 OAuth2 的 Token 端点和基本凭证。
动态注册的流程如下：
客户端注册成功后，就可以使用返回的客户端 ID 和 secret secret 执行任何标准授权流程。
1、简介 本文将带你了解如何在 OAuth 2.0 公开客户端（Public Client）中使用 Proof Key for Code Exchange （代码交换证明密钥，PKCE）。
2、背景 OAuth 2.0 公开客户端（如 SPA 单页应用，或使用授权码授权的移动应用）很容易受到授权码拦截攻击。如果客户端与服务器之间的通信是通过不安全的网络进行的，恶意攻击者就可能从授权端点截获授权代码。
如果攻击者可以访问授权码，就可以利用它获 Access Token。一旦攻击者拥有了 Access Token，就可以像合法应用用户一样访问受保护的应用资源，从而严重损害应用。例如，如果 Access Token 与金融应用相关联，攻击者就可能获取敏感的应用信息。
2.1、OAuth 授权码拦截攻击 来看看 Oauth 授权码拦截攻击是如何发生的：
上图展示了恶意攻击者如何滥用授权码获取 Access Token 的流程：
合法的 OAuth 应用使用其 Web 浏览器启动 OAuth 授权请求流程，并提供所有必要的详细信息。 Web 浏览器向授权服务器发送请求。 授权服务器向 Web 浏览器返回授权码。 在此阶段，如果通信是通过不安全的通道进行的，恶意用户可能会获取授权码。 恶意用户使用授权码从授权服务器获取 Access Token。 由于授权许可有效，授权服务器会向恶意应用签发 Access Token。恶意应用可以滥用 Access Token，代表合法应用访问受保护的资源。 代码交换证明密钥（Proof Key for Code Exchange，PKCE）是 OAuth 框架的一个扩展，旨在减轻这种攻击。
3、PKCE 和 OAuth PKCE（Proof Key for Code Exchange）扩展在 OAuth 授权码授权流程中包括以下额外步骤：
1、概览 在许多情况下，可以在 JWT Access Token 添加自定义 Claim，从而在 Token Payload 中包含更多信息。
本文将带你了解如何在 Spring Authorization Server 中为 JWT Access Token 添加资源所有者授权。
2、Spring Authorization Server Spring Authorization Server 是 Spring 生态系统中的一个新项目，旨在为 Spring 应用提供授权服务器支持。它通过 Spring 编程模型简化 OAuth 2.0 和 OpenID Connect（OIDC） 授权服务器的实现。
2.1、Maven 依赖 首先，在 pom.xml 中导入 spring-boot-starter-web、spring-boot-starter-security、spring-boot-starter-test 和 spring-security-oauth2-authorization-server 依赖：
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-web</artifactId> <version>2.5.4</version> </dependency> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> <version>2.5.4</version> </dependency> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-oauth2-authorization-server</artifactId> <version>0.2.0</version> </dependency> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-test</artifactId> <version>2.5.4</version> </dependency> 或者，可以在 pom.xml 文件中添加 spring-boot-starter-oauth2-authorization-server 依赖：
1、简介 OAuth 是一种描述授权过程的开放标准。它可用于授权用户访问 API。例如，REST API 可以限制只有具有适当角色的注册用户才能访问。
OAuth 授权服务器负责认证用户身份，并签发包含用户数据和适当访问策略的访问令牌（Access Token）。
本将带你了解如何使用 Spring Security OAuth 授权服务器 实现一个简单的 OAuth 应用。
我们要创建一个 CS 应用，通过 REST API 获取资源服务器上的文章列表。客户端服务和服务器服务都需要 OAuth 身份认证。
2、授权服务器实现 先来看看 OAuth 授权服务器的配置。它作为文章资源和客户端服务器的身份认证源。
2.1、依赖 首先，在 pom.xml 中添加如下依赖：
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-web</artifactId> <version>2.5.4</version> </dependency> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> <version>2.5.4</version> </dependency> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-oauth2-authorization-server</artifactId> <version>0.2.0</version> </dependency> 2.2、配置 在 application.yml 文件中，设置 server.port 属性来配置认证服务器的运行端口：
server: port: 9000 然后，就可以开始配置 Spring Bean 了。首先，需要一个 @Configuration 类，在该类中创建一些 OAuth 特有的 Bean。
第一个是客户端服务的 Repository。在本例中，使用 RegisteredClient Builder 类创建一个客户端：
