Okta-Spring-Boot中redirect_uri配置问题及AWS部署故障排查

问题背景 #

基于Spring Boot 3.3.2 + Okta Spring Boot Starter 3.0.7搭建的认证服务，本地通过Nginx反向代理并配置server.forward-headers-strategy=native后，可正常生成HTTPS格式的redirect_uri；但部署到AWS EC2的独立Tomcat实例时，再次出现redirect_uri为HTTP的400错误，提示该参数不在Okta应用配置的重定向URI列表中。

解决方向 #

1. 确认AWS代理层的转发头传递 #

• 若使用AWS Application Load Balancer（ALB），需确保目标组已启用负载均衡器生成的转发头，或手动配置传递X-Forwarded-Proto、X-Forwarded-Host、X-Forwarded-Port这些关键头——Spring Boot依赖这些头判断外部访问的协议和主机地址。
• 若EC2前端还有自定义Nginx代理，需对齐本地Nginx的转发头配置，确保X-Forwarded-Proto设置为https，且所有转发头正确传递到Tomcat。

2. 调整Spring Boot转发头策略与Tomcat配置 #

• 将server.forward-headers-strategy设置为framework（而非native），独立Tomcat环境下，Spring框架的转发头处理逻辑更可靠，避免依赖容器原生支持的差异。
• 添加Tomcat专属配置，明确信任转发头：

  server.tomcat.remoteip.remote-ip-header=x-forwarded-for
  server.tomcat.remoteip.protocol-header=x-forwarded-proto
  server.tomcat.remoteip.protocol-header-https-value=https
  

• 若使用独立Tomcat容器，需在conf/server.xml中配置RemoteIpValve，强制Tomcat识别转发的协议信息：

  <Valve className="org.apache.catalina.valves.RemoteIpValve"
         remoteIpHeader="X-Forwarded-For"
         protocolHeader="X-Forwarded-Proto"
         protocolHeaderHttpsValue="https"/>
  

3. 规范Okta重定向URI配置 #

• 不要手动设置okta.oauth2.redirect-uri，该参数由Starter自动生成，手动配置易导致地址拼接错误。
• 确保Okta应用控制台中配置的重定向URI为https://<你的真实DNS域名>/login/oauth2/code/okta，与外部访问的地址完全一致（包括协议、域名、路径）。

4. 排查AWS网络层的头过滤 #

• 若启用了AWS WAF，检查是否有规则拦截或修改了X-Forwarded-Proto等转发头，导致后端无法获取正确的协议信息。
• 确认EC2安全组允许代理层（ALB/Nginx）与Tomcat端口的通信，避免因网络拦截导致头信息丢失。

内容的提问来源于stack exchange，提问作者Steve Maring