Spring Boot OAuth2授权服务器Swagger获取令牌CORS问题排查

核心问题定位 #

Swagger调用/token端点出现"Failed to fetch"，核心原因大概率是CORS配置未覆盖到OAuth2端点，或是多个SecurityFilterChain的优先级、匹配规则冲突，导致有效CORS配置未作用到/token请求上。

关键排查与解决步骤 #

1. 理清SecurityFilterChain的优先级与匹配范围 #

Spring Security的多个SecurityFilterChain按@Order注解数值从小到大优先执行，数值越小优先级越高：

• 检查第一个FilterChain的requestMatcher是否真的匹配/token端点：如果第一个FilterChain仅匹配非OAuth2端点，/token会落入第二个FilterChain处理，若后者未配置CORS则会触发跨域错误。
• 确保处理OAuth2端点的FilterChain（含默认或自定义）必须配置CORS规则。

2. 修正CORS配置覆盖OAuth2端点 #

无论哪个FilterChain处理/token，都要确保CORS规则包含该端点，示例代码如下：

@Bean
@Order(1) // 调整优先级确保覆盖/token端点
public SecurityFilterChain oauth2SecurityFilterChain(HttpSecurity http) throws Exception {
    http
        .requestMatchers(matchers -> matchers.antMatchers("/token", "/oauth2/**"))
        .cors(cors -> cors.configurationSource(corsConfigurationSource()))
        .authorizeHttpRequests(auth -> auth.anyRequest().permitAll())
        // 其他OAuth2相关配置（如客户端认证、token生成逻辑）
    return http.build();
}

@Bean
public CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration config = new CorsConfiguration();
    config.setAllowedOrigins(Arrays.asList("http://你的Swagger主机地址:端口")); // 替换为实际Swagger地址
    config.setAllowedMethods(Arrays.asList("POST", "GET", "OPTIONS"));
    config.setAllowedHeaders(Arrays.asList("Authorization", "Content-Type"));
    config.setAllowCredentials(true); // 关键：允许携带凭证，Swagger调用必须开启
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", config);
    return source;
}

3. 校验Swagger的OAuth2配置正确性 #

确保springdoc-openapi配置中正确指定token端点与客户端凭证：

@Bean
public OpenAPI customOpenAPI() {
    return new OpenAPI()
        .components(new Components()
            .addSecuritySchemes("oauth2", new SecurityScheme()
                .type(SecurityScheme.Type.OAUTH2)
                .flows(new OAuthFlows()
                    .password(new OAuthFlow()
                        .tokenUrl("http://授权服务器地址:端口/token") // 填写正确的token端点
                        .scopes(new Scopes().addString("read", "读取权限"))))));
}

同时在Swagger UI的「Authorize」弹窗中，确认输入的Client ID、Client Secret与授权服务器配置一致（password模式需额外填写用户名密码，client_credentials模式仅需客户端凭证）。

4. 从授权服务器日志定位细节 #

从日志中确认两个关键信息：

• 请求是否到达授权服务器：若未到达，是前端浏览器的CORS拦截；若已到达，查看服务器返回的具体错误码（如401、403），排查客户端凭证有效性或参数格式问题。
• 检查请求头是否包含Content-Type: application/x-www-form-urlencoded：OAuth2的/token端点默认要求该格式，Swagger偶尔会用JSON格式发送参数，导致服务器无法解析。

多SecurityFilterChain协作逻辑说明 #

• 每个FilterChain有独立的requestMatcher，Spring会按@Order顺序匹配第一个符合条件的FilterChain处理请求，后续FilterChain不再执行。
• 典型配置逻辑：
  • 高优先级（@Order数值小）的FilterChain：处理公开端点、静态资源，配置宽松的权限与CORS规则。
  • 低优先级（@Order数值大）的FilterChain：处理OAuth2核心端点（/token、/oauth2/**），配置对应的CORS规则与OAuth2认证逻辑。
• 必须保证/token端点被正确的FilterChain匹配，且该FilterChain配置了有效CORS与OAuth2处理规则。

内容的提问来源于stack exchange，提问作者Durian Sosa