我正在创建一个与Shopify的API集成的应用程序，它使用OAuth2进行身份验证和授权。使用Spring Security OAuth2教程和Shopify教程，我已经能够与单个商店进行集成。YAML配置如下所示：
shopify:
shop: myshop
scopes: read_customers,read_orders
security:
oauth2:
client:
clientId: myclientid
clientSecret: mysecret
tokenName: access_token
authenticationScheme: query
clientAuthenticationScheme: form
accessTokenUri: https://${shopify.shop}.myshopify.com/admin/oauth/access_token
userAuthorizationUri: https://${shopify.shop}.myshopify.com/admin/oauth/authorize?scope=${shopify.scopes}&grant_options[]=
pre-established-redirect-uri: https://myapp/login
registered-redirect-uri: https://myapp/login
use-current-uri: false
resource:
userInfoUri: https://${shopify.shop}.myshopify.com/admin/shop.json
但是，此静态配置不适用于Shopify的App Store中发布的应用程序，因为重定向、访问令牌、用户信息和用户授权URI取决于商店名称。有使用多个提供程序的示例，但它们仍然必须是静态的。
为了让这些URI具有动态性，我想出了几个可能的选项：
>
使用/login路径中的参数来标识商店，然后创建一个过滤器，将商店名称添加到在其他所有内容之前运行的ThreadLocal，然后通过Spring代理的工厂bean动态创建OAuth2过滤器所需的AuthorizationCodeResource详细信息。
使用一种“元过滤器”，为每个请求动态重新创建OAuth2ClientAuthenticationProcessingFilter以及它需要的所有资源。
覆盖OAuth2ClientAuthenticationProcessingFilter，以便它可以处理重新创建获取访问令牌所需的RestTemplate。
所有这些选项看起来都相当困难。在Spring Security OAuth2中，处理动态生成的访问令牌和用户信息URI的好方法是什么？
此外，由于我通常是OAuth2的新手，我是否需要在Spring配置中启用资源服务器以使用访问令牌保护我的应用程序？
有点晚了，但我确实通过覆盖Oaut2ProtectedResource的getter返回了oauth资源的动态url
@Bean(name = "googleOauthResource")
public BaseOAuth2ProtectedResourceDetails getGoogleOauthResource() {
final AuthorizationCodeResourceDetails details = new AuthorizationCodeResourceDetails() {
@Override
public String getPreEstablishedRedirectUri() {
final RequestAttributes requestAttributes = RequestContextHolder.getRequestAttributes();
if (requestAttributes instanceof ServletRequestAttributes) {
final HttpServletRequest request = ((ServletRequestAttributes)requestAttributes).getRequest();
return request.getRequestURL() + "?" + request.getQueryString() + "&addStuff";
}
return super.getPreEstablishedRedirectUri();
}
};
details.setId("google-oauth-client");
details.setClientId("xxxxxxxxxxx");
details.setClientSecret("xxxxxxxx");
details.setAccessTokenUri("https://www.googleapis.com/oauth2/v4/token");
details.setUserAuthorizationUri("https://accounts.google.com/o/oauth2/v2/auth");
details.setTokenName("authorization_code");
details.setScope(Arrays.asList("https://mail.google.com/,https://www.googleapis.com/auth/gmail.modify"));
details.setPreEstablishedRedirectUri("http://localhost:8080/xxx-api-web/v2/gmail"); //TODO
details.setUseCurrentUri(false);
details.setAuthenticationScheme(AuthenticationScheme.query);
details.setClientAuthenticationScheme(AuthenticationScheme.form);
details.setGrantType("authorization_code");
return details;
}
我遇到了和你一样的问题，我倾向于你使用ThreadLocal存储的第一个理论。以下是我可能会如何处理我的解决方案：
通过覆盖OAuth2ClientAuthenticationProcessingFilter中的方法从LocalThread存储中的ServletRequest设置值：
然后通过覆盖以下方法在OAuth2RestTemplate中转换URI：
我可能必须为具有注入的@Service的RestTemplate制作自己的@Bean，该@Service将查找动态Shopify域。
如果有效，我会发布我的解决方案。
