Spring Reactive OAuth2: запросы токена client_credentials через прокси

Ресурс WebClient, работающий через прокси, всё равно может отказать до вызова API, если получение токена использует другой коннектор. Для реактивного потока client_credentials в Spring Security 6.5 свяжите все три части:

HttpClient route = HttpClient.create()
    .proxy(p -> p.type(ProxyProvider.Proxy.HTTP)
        .host("proxy.example").port(8080));
WebClient tokenHttp = WebClient.builder()
    .clientConnector(new ReactorClientHttpConnector(route))
    .build();

var tokens = new WebClientReactiveClientCredentialsTokenResponseClient();
tokens.setWebClient(tokenHttp);

var provider = new ClientCredentialsReactiveOAuth2AuthorizedClientProvider();
provider.setAccessTokenResponseClient(tokens);

var manager = new AuthorizedClientServiceReactiveOAuth2AuthorizedClientManager(
    registrations, authorizedClients);
manager.setAuthorizedClientProvider(provider);

tokens.setWebClient назначает HTTP-клиент токена; provider.setAccessTokenResponseClient назначает его провайдеру гранта; manager.setAuthorizedClientProvider устанавливает этот провайдер. Используйте этот менеджер в реальном фильтре OAuth или в рабочем процессе authorized-client.

HttpClient и ProxyProvider — типы Reactor Netty. WebClient и его коннектор — типы Spring WebFlux. Передайте существующий ReactiveClientRegistrationRepository как registrations, а ReactiveOAuth2AuthorizedClientService как authorizedClients.

Этот провайдер обрабатывает client_credentials; сохраняйте подходящую цепочку провайдеров, если нужны другие гранты. В примере нет учётной записи прокси: она относилась бы к транспорту, а не к OAuth client ID/secret. Для публичного token endpoint, разрешённого через публичный посредник, выбирайте хост и порт из списка HTTP-прокси.

Настройте также коннектор защищённого ресурса, когда этим вызовам API нужен маршрут. Успех токена и успех API — разные результаты.