Spring OAuth Client(v6.4.2)未重定向至OAuth服务器问题求助

你的核心问题是：未登录时通过RestClient/WebClient调用资源服务器，没有触发OAuth2授权重定向，反而直接返回500错误。本质是WebClient/RestClient的OAuth2流程未正确绑定到用户会话的授权逻辑，导致ClientAuthorizationRequiredException未被抛出和捕获。

以下是具体排查和修复步骤：

1. 确保WebClient/RestClient配置了完整的OAuth2授权管理器 #

默认情况下，WebClient不会自动关联用户上下文的授权流程，必须显式配置OAuth2AuthorizedClientManager和对应的过滤器，才能在令牌缺失时抛出ClientAuthorizationRequiredException。

示例WebClient配置：

@Bean
WebClient webClient(OAuth2AuthorizedClientManager authorizedClientManager) {
    // 绑定OAuth2授权逻辑到WebClient请求
    ServletOAuth2AuthorizedClientExchangeFilterFunction oauth2Filter =
            new ServletOAuth2AuthorizedClientExchangeFilterFunction(authorizedClientManager);
    // 设置默认使用的客户端注册ID（对应application.yml中的spring.security.oauth2.client.registration下的ID）
    oauth2Filter.setDefaultClientRegistrationId("your-oauth-client-id");
    
    return WebClient.builder()
            .apply(oauth2Filter.oauth2Configuration())
            .build();
}

@Bean
OAuth2AuthorizedClientManager authorizedClientManager(
        ClientRegistrationRepository clientRepo,
        OAuth2AuthorizedClientRepository authClientRepo) {
    // 启用authorization_code和refresh_token模式的授权提供者
    OAuth2AuthorizedClientProvider provider = OAuth2AuthorizedClientProviderBuilder.builder()
            .authorizationCode()
            .refreshToken()
            .build();
    
    DefaultOAuth2AuthorizedClientManager manager =
            new DefaultOAuth2AuthorizedClientManager(clientRepo, authClientRepo);
    manager.setAuthorizedClientProvider(provider);
    return manager;
}

2. 配置Spring Security异常处理器，捕获授权异常并重定向 #

需要在Security配置中，指定ClientAuthorizationRequiredException的处理逻辑，让Spring Security自动重定向到OAuth服务器授权页面。

示例Security配置：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(auth -> auth
                        .anyRequest().authenticated()
                )
                .oauth2Login(oauth2 -> oauth2
                        .defaultSuccessUrl("/home") // 登录成功后的跳转页
                )
                .oauth2Client(oauth2 -> oauth2
                        // 用HttpSession存储授权后的客户端信息，关联用户会话
                        .authorizedClientRepository(new HttpSessionOAuth2AuthorizedClientRepository())
                )
                .exceptionHandling(exceptions -> exceptions
                        // 捕获未授权异常，重定向到OAuth授权入口
                        .authenticationEntryPoint(new LoginUrlAuthenticationEntryPoint("/oauth2/authorization/your-oauth-client-id"))
                );
        return http.build();
    }
}

3. 检查调用资源服务器时的上下文绑定 #

在Controller中调用WebClient时，必须确保请求绑定到当前用户的HttpServletRequest上下文，否则授权管理器无法关联到用户会话，不会触发重定向逻辑。

正确的调用示例：

@GetMapping("/api/resource")
public String callResourceServer(WebClient webClient) {
    // WebClient会自动从当前请求上下文获取授权信息，缺失时抛出异常
    return webClient.get()
            .uri("https://your-resource-server/api/data")
            .retrieve()
            .bodyToMono(String.class)
            .block();
}

4. 排查application.yml中的客户端配置 #

确保客户端配置启用了authorization_code模式，并且注册ID与代码中的配置一致：

spring:
  security:
    oauth2:
      client:
        registration:
          your-oauth-client-id:
            client-id: your-client-id
            client-secret: your-client-secret
            authorization-grant-type: authorization_code
            redirect-uri: "{baseUrl}/login/oauth2/code/{registrationId}"
            scope: openid, profile, api.read
        provider:
          your-oauth-provider-id:
            authorization-uri: https://your-oauth-server/oauth2/authorize
            token-uri: https://your-oauth-server/oauth2/token
            user-info-uri: https://your-oauth-server/userinfo
            user-name-attribute: sub

关键原理说明 #

当WebClient调用资源服务器返回401时，ServletOAuth2AuthorizedClientExchangeFilterFunction会检查令牌状态，若发现无有效令牌则抛出ClientAuthorizationRequiredException。此时Spring Security的OAuth2AuthorizationRequestRedirectFilter会捕获该异常，触发重定向到OAuth服务器的授权页面。如果你的代码中没有完成上述配置，这个异常会被直接抛出，导致500错误。

内容的提问来源于stack exchange，提问作者OhadR