Spring Authorization Server中JWT认证/oauth2/authorize请求配置问题

核心问题 #

你的配置存在三个关键问题：

1. 授权服务器端点未应用自定义认证过滤器：Spring Boot 3.x的OAuth2 Authorization Server会为/oauth2/authorize等端点创建独立的安全过滤器链（authorizationServerSecurityFilterChain），优先级高于默认链。你的自定义JWT过滤器仅添加到默认链中，导致授权端点未正确执行JWT认证。
2. 缺少预认证入口点配置：当认证通过但后续授权环节出现问题时，默认的预认证入口点会直接返回"Rejecting access"的403错误，没有自定义的错误处理逻辑。
3. 错误端点权限与无会话机制冲突：无会话（STATELESS）模式下，Spring Boot默认的错误页面机制无法正常工作，且错误请求的权限配置未覆盖所有分发类型。

具体修复配置 #

1. 配置授权服务器专属安全过滤器链

创建优先级更高的授权服务器安全链，将自定义过滤器加入其中，并配置认证规则与错误处理：

@Bean
@Order(1) // 优先级高于默认链
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
    // 应用授权服务器默认安全配置
    OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);

    // 添加自定义过滤器
    http.addFilterAfter(new CustomJwtAuthenticationFilter(secret), BasicAuthenticationFilter.class)
        .addFilterBefore(new CustomHSTSFilter(), CustomJwtAuthenticationFilter.class);

    // 配置授权服务器端点需要认证
    http.authorizeHttpRequests(auth -> auth
            .requestMatchers(OAuth2AuthorizationServerConfiguration.getEndpointsMatcher())
            .authenticated()
        )
        // 替换默认预认证入口点，避免返回生硬的403
        .exceptionHandling(exceptions -> exceptions
            .authenticationEntryPoint(new HttpStatusEntryPoint(HttpStatus.UNAUTHORIZED))
        );

    return http.build();
}

2. 调整默认安全过滤器链

修改默认链，确保错误端点权限正确，同时保持自定义过滤器：

@Bean
@Order(2)
public SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http) throws Exception {
    http
        .csrf(AbstractHttpConfigurer::disable)
        .sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/hello").authenticated()
            // 允许所有错误分发类型的请求访问错误端点
            .dispatcherTypeMatchers(DispatcherType.ERROR).permitAll()
            .anyRequest().permitAll()
        )
        .addFilterAfter(new CustomJwtAuthenticationFilter(secret), BasicAuthenticationFilter.class)
        .addFilterBefore(new CustomHSTSFilter(), CustomJwtAuthenticationFilter.class)
        .exceptionHandling(exceptions -> exceptions
            .authenticationEntryPoint(new HttpStatusEntryPoint(HttpStatus.UNAUTHORIZED))
        );

    return http.build();
}

3. 兼容无会话模式的授权请求状态存储

OAuth2授权码流程需要保存授权请求状态，若坚持使用STATELESS，需替换默认的会话存储为无状态实现（比如基于Cookie）：

@Bean
public OAuth2AuthorizationRequestRepository<OAuth2AuthorizationRequest> authorizationRequestRepository() {
    // 自定义Cookie实现，避免依赖会话
    return new CookieOAuth2AuthorizationRequestRepository();
}

关键验证步骤 #

• 确认/oauth2/authorize请求经过CustomJwtAuthenticationFilter后，SecurityContextHolder中存在有效的Authentication对象。
• 检查授权服务器日志，排查是否存在客户端信息不匹配、授权请求状态丢失等问题。
• 直接访问/error端点，验证是否返回合法的JSON错误响应（而非404）。

内容的提问来源于stack exchange，提问作者Nemanja