Spring Boot 3.3 OAuth2授权服务器旧路径(/oauth)映射方案咨询

要解决Spring Boot 2.7到3.3迁移中OAuth端点从/oauth到/oauth2的兼容问题，让客户端无需修改即可使用原有端点，可通过以下几种方式实现：

方法一：自定义控制器批量转发 #

创建一个控制器，将所有/oauth/**请求转发到/oauth2/**，同时保留原请求的方法、参数和请求体：

import jakarta.servlet.http.HttpServletRequest;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RequestMethod;

@Controller
@RequestMapping("/oauth")
public class LegacyOAuthForwardController {

    @RequestMapping(value = "/**", method = {RequestMethod.GET, RequestMethod.POST, RequestMethod.PUT, RequestMethod.DELETE})
    public String forwardLegacyRequests(HttpServletRequest request) {
        String pathInfo = request.getPathInfo();
        return "forward:/oauth2" + (pathInfo != null ? pathInfo : "");
    }
}

关键注意点： #

• 使用forward:前缀实现服务器内部转发，不会改变请求方法（避免你遇到的POST转GET问题）
• 覆盖所有HTTP方法，确保令牌请求（POST）、刷新令牌等操作都能正常转发

方法二：逐个映射端点（适合仅需兼容特定端点的场景） #

如果只需要兼容特定几个端点（比如/oauth/token、/oauth/authorize），可以通过WebMvcConfigurer添加视图控制器：

import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.ViewControllerRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class LegacyOAuthConfig implements WebMvcConfigurer {

    @Override
    public void addViewControllers(ViewControllerRegistry registry) {
        registry.addViewController("/oauth/token").setViewName("forward:/oauth2/token");
        registry.addViewController("/oauth/authorize").setViewName("forward:/oauth2/authorize");
        // 根据需要添加其他遗留端点
    }
}

配套Spring Security配置 #

确保/oauth路径的权限配置与/oauth2一致，避免被额外拦截：

import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        // 其他安全配置...
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/oauth/**", "/oauth2/**").permitAll() // 保持权限一致
            .anyRequest().authenticated()
        );
    return http.build();
}

解决请求体读取问题 #

如果转发后出现请求体无法读取的情况（比如令牌请求的表单参数丢失），添加一个请求体缓存过滤器：

import jakarta.servlet.FilterChain;
import jakarta.servlet.ServletException;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import org.springframework.stereotype.Component;
import org.springframework.web.filter.OncePerRequestFilter;
import org.springframework.web.util.ContentCachingRequestWrapper;

import java.io.IOException;

@Component
public class ContentCachingFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        ContentCachingRequestWrapper wrappedRequest = new ContentCachingRequestWrapper(request);
        filterChain.doFilter(wrappedRequest, response);
    }
}

测试验证 #

完成配置后，测试以下场景：

• 发送POST请求到/oauth/token，验证是否能正常获取令牌
• 发送POST请求到/oauth/token（带refresh_token参数），验证刷新令牌功能
• 检查其他OAuth端点（如授权端点）是否正常工作

内容的提问来源于stack exchange，提问作者Andreas Hefti