### 28.1.2 資源服務器 為了使用access token，你需要一個資源服務器（可以跟授權服務器是同一個）。創建資源服務器很簡單，只需要添加`@EnableResourceServer`，提供一些配置以允許服務器解碼access token。如果應用也是授權服務器，由于它知道如何去解碼tokens，所以也就不需要做其他事情。如果你的app是獨立的服務，那你就需要給它添加以下可選配置中的某一項： * `security.oauth2.resource.user-info-uri`用于`/me`資源（例如，PWS的`https://uaa.run.pivotal.io/userinfo`）。 * `security.oauth2.resource.token-info-uri`用于token解碼端點（例如，PWS的`https://uaa.run.pivotal.io/check_token`）。 如果`user-info-uri`和`token-info-uri`都指定了，你可以設置flag篩選出最想要的那個（默認`prefer-token-info=true`）。 另外，如果token是JWTs，你可以配置`security.oauth2.resource.jwt.key-value`解碼它們（key是驗簽的key）。驗簽的鍵值可以是一個對稱密鑰，也可以是PEM編碼的RSA公鑰。如果你沒有key，并且它是公開的，你可以通過`security.oauth2.resource.jwt.key-uri`提供一個下載URI（有一個"value"字段的JSON對象），例如，在PWS平臺上： ``` $ curl https://uaa.run.pivotal.io/token_key {"alg":"SHA256withRSA","value":"-----BEGIN PUBLIC KEY-----\nMIIBI...\n-----END PUBLIC KEY-----\n"} ``` **注** 如果你使用`security.oauth2.resource.jwt.key-uri`，授權服務器需要在應用啟動時也運行起來，如果找不到key，它將輸出warning，并告訴你如何解決。