Spring Boot结合私有端点与WAF时，如何配置Azure AD直接认证跳转？

问题核心是后端应用无法识别用户的原始请求域名——WAF转发请求后，应用拿到的是Azure App Service私有端点地址，导致生成的授权重定向URL使用了私有域名，用户无法访问。以下是适配你现有架构的配置方案：

1. 配置转发头处理，让应用识别原始请求域名 #

在application.properties中添加以下配置，让Spring Boot正确解析WAF转发的请求头，从而使用公网域名生成重定向URL：

# 让Spring框架处理转发头（适用于Spring Boot 2.2+）
server.forward-headers-strategy=framework
# 配置Tomcat识别转发的IP、协议和端口
server.tomcat.remote-ip-header=x-forwarded-for
server.tomcat.protocol-header=x-forwarded-proto
server.tomcat.port-header=x-forwarded-port
# 可选：指定信任的转发地址来源（限制仅WAF的IP段，遵循安全最佳实践）
server.tomcat.internal-proxies=你的WAF公网IP/子网段

Azure App Service会自动向后端传递X-Forwarded-Host、X-Forwarded-Proto等头，上述配置让应用信任并使用这些头中的信息生成正确的公网URL。

2. 确认OAuth2登录配置正确性 #

你已配置的重定向URI无需修改，确保与Azure AD应用注册中的值完全一致即可：

spring.cloud.azure.active-directory.redirect-uri-template=https://www.custdomain.com/login/oauth2/code/

3. （可选）自定义授权请求重定向逻辑 #

若上述配置未解决问题，可通过自定义Spring Security授权请求解析器，强制指定授权重定向的公网域名：

@Configuration
public class SecurityConfig {
    @Value("${app.public-domain:https://www.custdomain.com}")
    private String publicDomain;

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http, ClientRegistrationRepository clientRegistrationRepo) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .oauth2Login(oauth2 -> oauth2
                .authorizationEndpoint(endpoint -> endpoint
                    .authorizationRequestResolver(
                        new DefaultOAuth2AuthorizationRequestResolver(clientRegistrationRepo, "/oauth2/authorization") {
                            @Override
                            public OAuth2AuthorizationRequest resolve(HttpServletRequest request) {
                                OAuth2AuthorizationRequest requestObj = super.resolve(request);
                                return requestObj != null ? customizeRedirectUri(requestObj) : null;
                            }

                            @Override
                            public OAuth2AuthorizationRequest resolve(HttpServletRequest request, String clientRegistrationId) {
                                OAuth2AuthorizationRequest requestObj = super.resolve(request, clientRegistrationId);
                                return requestObj != null ? customizeRedirectUri(requestObj) : null;
                            }

                            private OAuth2AuthorizationRequest customizeRedirectUri(OAuth2AuthorizationRequest requestObj) {
                                // 将授权请求的重定向URI替换为公网域名
                                String updatedRedirectUri = requestObj.getRedirectUri()
                                    .replaceFirst("https?://[^/]+", publicDomain);
                                return OAuth2AuthorizationRequest.from(requestObj)
                                    .redirectUri(updatedRedirectUri)
                                    .build();
                            }
                        }
                    )
                )
            );
        return http.build();
    }
}

该配置会强制将授权请求中的重定向URI替换为指定的公网域名，确保用户被引导到正确地址。

4. Azure App Service补充配置 #

• 在App Service网络设置中，确保私有端点允许WAF流量访问；
• 启用App Service的HTTPS Only选项，确保所有请求使用HTTPS，符合安全最佳实践。

验证流程 #

1. 用户访问https://www.custdomain.com/
2. WAF将请求转发到后端App Service
3. 后端生成正确的公网授权重定向URL：https://www.custdomain.com/oauth2/authorization/azure
4. 用户被引导至Azure AD登录页，登录成功后回调到https://www.custdomain.com/login/oauth2/code/
5. WAF将回调请求转发到后端，完成认证并返回页面内容

内容的提问来源于stack exchange，提问作者Venkatesh