基于Java Spring Boot的Spotify OAuth2认证403错误排查

核心问题拆解 #

你遇到的403错误，主要由两方面原因导致：一是/success页面存在权限拦截但未识别用户登录状态；二是getSpotifyUserCode方法存在响应逻辑冲突、全局token共享的问题。

具体修复步骤 #

1. 修复响应逻辑冲突 #

getSpotifyUserCode中调用response.sendRedirect后又返回字符串，会导致Spring容器尝试发送双重响应，浏览器可能收到异常响应头，间接引发权限判断异常。修改方式：

• 移除return spotifyApi.getAccessToken();语句，改用RedirectView返回，避免手动操作HttpServletResponse。

修改后的getSpotifyUserCode示例：

@GetMapping(value = "get-user-code")
public RedirectView getSpotifyUserCode(@RequestParam("code") String userCode, HttpSession session) {
    System.out.println("Received user code: " + userCode);

    if (userCode == null || userCode.isEmpty()) {
        return new RedirectView("/error?msg=no_code");
    }

    AuthorizationCodeRequest authorizationCodeRequest = spotifyApi.authorizationCode(userCode).build();

    try {
        final AuthorizationCodeCredentials credentials = authorizationCodeRequest.execute();
        
        // 将用户的token存入Session，避免全局静态实例覆盖
        session.setAttribute("spotifyAccessToken", credentials.getAccessToken());
        session.setAttribute("spotifyRefreshToken", credentials.getRefreshToken());

        System.out.println("Access Token: " + credentials.getAccessToken());
        System.out.println("Refresh Token: " + credentials.getRefreshToken());
        System.out.println("Expires in: " + credentials.getExpiresIn());

    } catch (IOException | SpotifyWebApiException | org.apache.hc.core5.http.ParseException e) {
        System.out.println("Error during token exchange: " + e.getMessage());
        return new RedirectView("/error?msg=token_exchange_fail");
    }

    return new RedirectView("/success");
}

2. 解决全局token共享问题 #

原代码中spotifyApi是静态全局实例，多用户登录时会互相覆盖token，导致后续请求拿到错误的权限凭证。解决方案：

• 不再使用静态spotifyApi，而是在需要时根据Session中存储的token创建实例；
• 将用户的access token、refresh token存入HttpSession，每个用户独立维护自己的凭证。

3. 处理/success页面的权限拦截 #

如果你的应用使用了Spring Security，需要确保/success路径被允许访问，或者将Spotify认证后的用户信息同步到Spring安全上下文：

• 若/success是公开页面，在Security配置中添加：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
        .antMatchers("/success", "/api/login", "/api/get-user-code").permitAll()
        .anyRequest().authenticated();
}

• 若/success需要认证，可在拿到Spotify凭证后，手动将用户信息存入SecurityContextHolder：

// 在token交换成功后添加
UserDetails userDetails = User.withUsername("spotify-user")
    .password("noop")
    .authorities("ROLE_USER")
    .build();
Authentication auth = new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities());
SecurityContextHolder.getContext().setAuthentication(auth);

4. 验证Spotify开发者后台配置 #

确认你的Spotify应用后台已正确添加重定向URI：http://localhost:8080/api/get-user-code/（注意末尾的斜杠必须和代码中一致），否则授权流程会存在潜在的权限验证问题。

内容的提问来源于stack exchange，提问作者Sean Warren