Spring Security 7 服务端 DPoP 与令牌交换解析

Spring Authorization Server 已并入 Spring Security 7.0；据 Dhruv Agnihotri 在 InfoQ 的文章，7.1.1 版本中 DPoP（RFC 9449）与令牌交换（RFC 8693）首次在官方组件中达到生产就绪，配合 Spring Boot 4.1 使用，两项 OAuth 2.1 功能位于同一模块。 但文章指出，截至 7.1.1，Spring 的 DPoP 代码在两端均未实现 nonce 机制：既不发出 DPoP-Nonce 头，也不处理 use_dpop_nonce 请求，验证器也不检查证明中可选的 nonce 声明。默认验证器使用 InMemoryCache（10 万条记录），其 Javadoc 称“仅在单节点环境中有效”，集群部署需改用 Redis 或 Hazelcast 等分布式缓存。 升级风险方面，文章称依赖 6.5 或 7.0 中自动应用验证功能的应用程序（包括仅用 Spring Boot 默认资源服务器自动配置的应用）升级到 7.1 后，在显式添加 .dPoP() 之前会悄无声息地停止强制执行 DPoP。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。