我们在内部使用一个名为https://www.forgerock.com/ ForgeRock的自定义产品，它支持Oauth2。遵循Pac4J代码库，我能够创建一个自定义的ForgeRock客户端。

public class ForgeRockClient extends OAuth20Client {

   public static final String DEFAULT_SCOPE = "read write";

   private final String baseUrl;

   public ForgeRockClient(final String url, final String key, final String secret) {
      setScope(DEFAULT_SCOPE);
      setKey(key);
      setSecret(secret);
      this.baseUrl = url;
   }

   @Override
   protected void internalInit(final boolean forceReinit) {
      String tokenEndpoint = this.baseUrl + "/oauth2/access_token";
      String authorizeEndpoint = this.baseUrl + "/oauth2/authorize";
      String revokeEndpoint = this.baseUrl + "/oauth2/revoke";
      String userEndpoint = this.baseUrl + "/oauth2/userinfo";
      ForgeRockApi api = new ForgeRockApi(tokenEndpoint, authorizeEndpoint, revokeEndpoint);
      configuration.setApi(api);
      configuration.setProfileDefinition(new ForgeRockProfileDefinition(userEndpoint));
      configuration.setWithState(true);
      configuration.setTokenAsHeader(true);
      defaultLogoutActionBuilder((ctx, session, profile, targetUrl) -> Optional
               .of(HttpActionHelper.buildRedirectUrlAction(ctx, this.baseUrl + "/logout")));

      super.internalInit(forceReinit);
   }

   public String getScope() {
      return getConfiguration().getScope();
   }

   public void setScope(final String scope) {
      getConfiguration().setScope(scope);
   }
}

这是正常工作，我的UI现在重定向到Forgerock，我登录，它重定向回来，我得到我正确的UserProfile。现在，我的下一部分是我们的应用程序所做的第一件事，然后对REST服务进行API调用，在我们的旧SSO中，我们转发cookie，REST服务将使用该cookie与ForeRock进行身份验证。
我的问题是，如何使用我从UI登录中获得的AccessToken提交给我也可以控制的REST API，并希望验证令牌是否有效并从中获取信息。我不知道Pac4J是否有我需要做的事情，因为我看到的大多数代码都是关于OAuth2间接客户端的UI访问。
任何想法或帮助将不胜感激？我看到其他人提到使用Authorization: Bearer <Token>发送到REST服务？
到目前为止，我一直在研究这个问题，我似乎找不到一个共同的共识或答案，并希望有人从Pac4J或其他OAuth2Maven可以阐明这个问题？