Spring Security 中已弃用的 AuthorizationServer 的替代品是什么？

Question

Spring Security 5.2.2 已经合并了 Spring Security OAuth 项目，但没有合并 AuthorizationServer 或 ResourceServer。Spring Security 5.2.2 中 AuthorizationServer 的替代品是什么？

OAuth-2.0-迁移指南

本文档包含将 OAuth 2.0 客户端和资源服务器从 Spring Security OAuth 2.x 迁移到 Spring Security 5.2.x 的指南。由于 Spring Security 不提供授权服务器支持，因此迁移 Spring Security OAuth 授权服务器超出了本文档的范围。

Answer 1

首先要注意的是 Spring Security OAuth 2.4.0正式弃用了它的所有类。

第二件事是根据Spring Security - OAuth 2.0 Features Matrix - FAQ：

我们不再计划向 Spring Security 添加授权服务器支持。

一种解决方案是使用 OAuth2 授权服务器，例如Gluu或Keycloak，但根据您的使用情况和您在授权服务器中进行的自定义程度，这当然不是简单的。

由于 Spring 社区的抗议，也有一些希望在 Spring Security 中仍然实现授权服务器。根据Github上的Josh Cummings 的说法：

我们要感谢大家对不支持授权服务器的决定的反馈。由于这些反馈和一些内部讨论，我们正在重新审视这个决定。我们会通知社区任何进展。

另见：https : //spring.io/blog/2019/11/14/spring-security-oauth-2-0-roadmap-update

== 2020 年 3 月 5 日更新 ==

回答 Joseph 的问题：“如果我们继续使用它有什么问题吗？”：目前，没有具体问题，Spring Security OAuth 仍在维护，但在不久的将来可能不会出现这种情况。引用与上面相同的博客文章：

2.3.x 系列将于 2020 年 3 月停产。我们将在达到功能对等后至少一年支持 2.4.x 系列。

为此，随着 Spring Security 5.2 的发布，我们强烈鼓励用户开始将其遗留的 OAuth 2.0 客户端和资源服务器应用程序迁移到 Spring Security 5.2 中的新支持。

== 2020 年 4 月 15 日更新 ==

全新的 Spring Authorization Server发布。你可以在Github上找到它。

== 2020 年 5 月 7 日更新 ==

正如在Spring 博客上宣布的那样：

[...] 计划是在2021年5 月之前为Spring Security Oauth 2.4.x 和 2.5.x 系列提供补丁和安全修复。此外，在2022年5 月之前，将支持 2.5.x 系列的安全修复程序，届时该项目将终止。

== 2021 年 7 月 9 日更新 ==

新的Spring Authorization Server 0.1.2现在可用。根据 Joe Grandja 的评论，生产就绪版本没有明确的时间表，API 仍在发展中。

== 2021 年 8 月 19 日更新 ==

第一个官方支持的生产就绪版本，Spring Authorization Server 0.2.0，可用：https : //spring.io/blog/2021/08/19/spring-authorization-server-goes-to-production