Spring Security OAuth2代理下无法使用FQDN作为授权端点BaseUri问题

核心问题 #

你的问题根源在于Spring Security无法识别代理后的真实外部域名，默认使用了Azure App Service的内部域名生成OAuth2重定向URL，导致跨域Cookie不匹配；而直接设置完整URL作为baseUri是错误用法，因为baseUri仅支持相对路径，进而引发重定向循环。

解决方案步骤 #

1. 配置Spring Boot识别代理转发的头部

Spring Boot需要通过代理传递的头部获取真实的外部请求地址，在application.yml（或application.properties）中添加以下配置：

server:
  forward-headers-strategy: framework
  servlet:
    context-path: /app1

该配置让Spring Boot使用框架级别的转发头部处理逻辑，自动识别X-Forwarded-Proto、X-Forwarded-Host、X-Forwarded-Port等头部，从而生成正确的外部URL。

2. 恢复Spring Security OAuth2的默认配置

不需要手动设置authorizationEndpoint的baseUri，保持初始配置即可：

.oauth2Login(oauth -> {
    oauth.failureHandler(customAuthenticationFailureHandler);
    successHandler.ifPresent(oauth::successHandler);
})

此时Spring Security会根据代理传递的真实域名，生成正确的重定向URL：https://myapp.domain.com/app1/oauth2/authorization/auth0，避免跨域Cookie问题。

3. 确保代理正确转发必要头部

如果前端使用的是自定义代理（而非Azure App Service自带的自定义域名），需要确保代理转发以下头部到后端应用：

• X-Forwarded-Proto：传递外部请求的协议（如https）
• X-Forwarded-Host：传递外部请求的域名（如myapp.domain.com）
• X-Forwarded-Port：传递外部请求的端口（如443）

对于Azure App Service的自定义域名场景，这些头部会被自动处理，无需额外配置。

为什么之前的尝试失败？ #

• 设置完整URL作为baseUri：baseUri的作用是指定应用内部的OAuth2授权端点路径，仅支持相对路径。设置完整URL后，Spring Security会将其视为外部地址，每次请求该URL时都会触发OAuth2登录流程，导致重定向循环。
• 放行oauth2/authorization路径：该路径是Spring Security自动注册的端点，由安全过滤器链处理。手动放行后，过滤器链不再拦截该请求，导致找不到对应的控制器映射，返回404错误。

内容的提问来源于stack exchange，提问作者Arun Kottayil