Spring Boot 3集成Azure AD：自定义OAuth2UserService未触发问题

可能的原因及对应解决方案 #

1. 混淆OAuth2与OIDC用户服务实现 #

Azure AD属于OIDC（OpenID Connect）提供商，而你继承的DefaultOAuth2UserService是纯OAuth2场景的实现。在OIDC流程中，Spring Security默认使用OidcUserService处理用户信息，而非DefaultOAuth2UserService，因此你的自定义服务不会被触发。

解决方法：
修改自定义服务继承OidcUserService，并重写loadUser(OidcUserRequest userRequest)方法：

@Service
public class CustomAzureAdUserService extends OidcUserService {

    @Override
    public OidcUser loadUser(OidcUserRequest userRequest) throws OAuth2AuthenticationException {
        OidcUser oidcUser = super.loadUser(userRequest);
        
        // 自定义逻辑：处理用户属性、扩展权限等
        Map<String, Object> attributes = new HashMap<>(oidcUser.getAttributes());
        Set<GrantedAuthority> mappedAuthorities = new HashSet<>(oidcUser.getAuthorities());
        
        // 示例：添加自定义权限
        mappedAuthorities.add(new SimpleGrantedAuthority("ROLE_CUSTOM"));
        
        return new DefaultOidcUser(mappedAuthorities, oidcUser.getIdToken(), oidcUser.getUserInfo());
    }
}

2. 安全配置类未正确绑定自定义服务 #

检查Spring Security配置类是否正确注入并绑定自定义服务：

• 配置类需添加@EnableWebSecurity注解
• 通过构造函数或@Autowired注入自定义服务
• 绑定服务时需调用.oidcUserService()而非.userService()

修正后的配置类示例：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    private final CustomAzureAdUserService customAzureAdUserService;

    // 构造函数注入（推荐方式）
    public SecurityConfig(CustomAzureAdUserService customAzureAdUserService) {
        this.customAzureAdUserService = customAzureAdUserService;
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity _http) throws Exception {
        _http.csrf(AbstractHttpConfigurer::disable)
                .cors(CorsConfigurer::disable)
                .headers(headers -> headers.cacheControl(CacheControlConfig::disable))
                .authorizeHttpRequests(authorize -> authorize
                        .requestMatchers("/css/**", "/js/**", "/fonts/**", "/images/**", "/webjars/**", "/",
                                "/index", "/login", "/loginfailed", "/logout", "/version", "/simulation", "/simulation.*").permitAll()
                        .anyRequest().authenticated())
                .formLogin(form -> form.loginPage("/login").defaultSuccessUrl("/index", true).failureUrl("/loginfailed"))
                .oauth2Login(oauth2Login -> oauth2Login
                        .loginPage("/login")
                        .userInfoEndpoint(userInfoEndpoint -> userInfoEndpoint
                                .oidcUserService(customAzureAdUserService))
                        .defaultSuccessUrl("/test", true));
        return _http.build();
    }
}

3. Azure AD应用缺失必要权限 #

确保Azure Portal中注册的应用已添加openid、profile等核心Scope，否则用户信息获取流程会异常，导致自定义服务无法触发。

检查步骤：

1. 登录Azure Portal，进入Azure AD -> 应用注册 -> 目标应用
2. 进入「API权限」页面，确认已添加Microsoft Graph的openid、profile权限（租户级应用需完成管理员同意）

4. 未显式配置UserInfo端点调用（可选） #

默认OIDC流程仅通过ID Token获取用户信息，若需额外调用UserInfo端点补充数据，可在配置中指定端点地址：

.oauth2Login(oauth2Login -> oauth2Login
        .userInfoEndpoint(userInfoEndpoint -> userInfoEndpoint
                .oidcUserService(customAzureAdUserService)
                .userInfoUri("https://graph.microsoft.com/oidc/userinfo"))
        // 其他配置项
)

内容的提问来源于stack exchange，提问作者fabigol