oauth是在那个流程用jwt生成token的呢？

那oauth是在那个流程用jwt生成token的呢？在那个流程oauth让请求头携带token的呢？后续请求携带token的时候， Spring Security是在哪个流程去校验token并判断token有哪些权限的呢

在结合 OAuth 2.0 和 JWT 的场景下，在 Spring Security 中的流程大致如下：

1. OAuth 2.0 认证流程：

   • 客户端应用通过 OAuth 2.0 协议向授权服务器请求授权，通常包括认证和授权码的流程。

   • 授权服务器对客户端应用进行身份验证，并颁发授权码或直接颁发访问令牌（access token）和刷新令牌（refresh token）。

   • 如果授权码模式，则客户端应用使用授权码向授权服务器请求访问令牌；如果直接颁发令牌，则直接使用令牌。

   • 在授权服务器成功验证客户端身份后，将生成 JWT 并作为访问令牌返回给客户端。授权服务器可能会在 JWT 中包含用户的一些基本信息和权限信息。

2. 客户端访问资源服务器流程：

   • 客户端应用在每次请求受保护的资源时，将 JWT 携带在请求头中，通常是以 Bearer 方式，放在 Authorization 头中。

   • 资源服务器收到请求后，首先从请求头中提取 JWT，并验证其有效性，包括签名验证、过期时间验证等。

   • 如果 JWT 有效，资源服务器会解析 JWT 并从中提取用户的身份信息和权限信息，例如用户ID、角色等。

   • 根据用户的身份信息和权限信息，资源服务器进行权限验证，决定是否授权用户对请求的资源进行访问。

   • 如果用户具有足够的权限，资源服务器将返回请求的资源数据或执行请求的操作；否则，资源服务器将返回相应的错误信息或拒绝访问。

在这个流程中，OAuth 2.0 主要用于客户端的认证和授权，而 JWT 则用于表示用户的身份信息和权限信息，并在客户端和资源服务器之间进行安全通信。

Spring Security 在这个流程中通常用于验证 JWT 的有效性并根据其中的权限信息进行授权。你可以编写一个自定义的 Spring Security 过滤器或者拦截器，在请求到达资源服务器时对 JWT 进行验证和解析，然后根据解析出的用户信息和权限信息进行相应的授权操作。这个过程通常在资源服务器的安全配置中完成。