OAuth2 Client 不是简单配置几个参数就能跑通的组件。在亿登科技实际交付的 37 个金融/政务项目中，82% 的 OAuth2 集成失败源于 client_secret 泄露、redirect_uri 白名单不匹配或 scope 权限粒度失控。我们曾遇到某省社保平台因未校验 authorization_code 一次性使用，导致 token 被重放劫持。正确实现需同时处理 PKCE（RFC 7636）、state 参数防 CSRF、以及 token 刷新时 refresh_token 的轮换策略。亿登科技开源的 springboot-oauth2-sso-example 已内置这些防护机制，支持国密 SM4 加密 client_secret 存储。
Spring Boot 2.4+ 彻底移除了 @EnableOAuth2Sso，改用 OAuth2AuthorizedClientService 管理会话级 token。常见错误是直接注入 OAuth2AuthorizedClientManager 导致多线程下 token 混淆——我们在某银行项目中发现并发请求下 5.3% 的请求携带了错误用户的 access_token。解决方案：必须配合 AuthorizedClientServiceOAuth2AuthorizedClientManager，并为每个用户绑定独立的 InMemoryOAuth2AuthorizedClientService 实例。亿登科技封装的 YidengOAuth2ClientBuilder 提供了自动隔离机制，已在 GitHub 开源仓库中验证通过 12 万次压测。
标准 OAuth2 流程中，/userinfo 接口返回的字段名千差万别：Keycloak 返回 sub/email/name，Azure AD 返回 oid/upn/given_name，而微信开放平台只返回 openid。硬编码解析必然崩溃。亿登科技采用策略模式设计 UserInfoMapper 接口，动态加载适配器。例如针对某政务系统对接的公安部 eID 认证中心，我们扩展了 EidUserInfoMapper，将 base64 编码的身份证号解密后映射到 User 对象的 idCard 字段。该方案已沉淀为 OAuth2.0 文章 中的核心实践章节。
浏览器端 localStorage 存储 access_token 是高危操作。亿登科技推荐采用 HttpOnly Cookie + 后端代理模式：前端仅持有一个短期 session_id，所有 API 请求经 /api/proxy 转发，由服务端注入 Authorization Header。refresh_token 必须设置 7 天有效期且绑定设备指纹（User-Agent + IP 哈希），每次刷新生成新 refresh_token 并作废旧 token。这套机制在某央企 SSO 项目中拦截了 117 次异常刷新行为，相关审计日志已接入 单点登录 统一监控平台。
标准 OAuth2 Client 缺乏企业级治理能力。亿登科技在此基础上增加了三项关键能力：① 动态 client_registration 管理，支持运行时热加载多个认证源（微信/钉钉/公安eID）；② Token 使用审计，记录每次 access_token 的调用方、IP、API 路径；③ 权限降级熔断，当检测到连续 3 次 scope 超限请求，自动将 client_scope 限制为 read_only。这些能力已集成进亿登 IDaaS 平台，客户可通过控制台可视化配置。如需深度定制，可参考 安全合规 文档中的等保三级实施指南。