没有共享数据源的分离资源和授权服务器

Question

我有兴趣实现单独的资源和授权服务器。从here 了解到，要使其正常工作，“令牌必须可由资源服务器在本地解码，或者必须与身份验证服务器共享存储。”差不多 2.5 年后，我希望资源服务器可以在不与授权服务器共享数据源的情况下将令牌解析为 Principal。正如this 问题中所述，RemoteTokenServices 是实现这一目标的唯一方法吗？如果是，“/check_token”的响应应该是什么？

Answer 1

RemoteTokenServices 不是唯一的方法（但加入一点缓存可能是一个非常好的解决方案），2.5 年前也不是。开箱即用支持的另一个选项是 JWT 令牌（例如 https://github.com/spring-projects/spring-security-oauth/tree/master/tests/annotation/jwt）。