Spring Security：仅当存在URL参数时显示登录表单

我正在使用Spring Cloud Gateway（2023.0.0）和Spring Boot（3.2.3），集成了oauth2Login和formLogin功能。当前打开应用时会重定向到登录页，在该页面可选择表单登录或OAuth提供商（符合预期）。

我希望实现：

• 默认跳过登录页，直接重定向到OAuth提供商
• 仅当初始请求携带指定URL参数（如?local=true）时，才显示带表单的登录页

当前基础配置代码：

@Bean
public SecurityWebFilterChain springSecurityFilterChain(final ServerHttpSecurity http) {

    http
        // 其他配置...
        .oauth2Login(withDefaults())
        .formLogin(withDefaults())
        // 其他配置...;

    return http.build();
}

@Bean
MapReactiveUserDetailsService userDetailsService() {
    UserDetails userDetails = User
        .withUsername("admin")
        .password("{noop}admin")
        .roles("admin")
        .build();
    return new MapReactiveUserDetailsService(List.of(userDetails));
}

我尝试实现了自定义ServerAuthenticationEntryPoint：

@Bean
public SecurityWebFilterChain springSecurityFilterChain(final ServerHttpSecurity http) {
    http
        // 其他配置...
        .oauth2Login(withDefaults())
        .formLogin(withDefaults())
        .exceptionHandling(c -> c.authenticationEntryPoint(customAuthenticationEntryPoint()))
        // 其他配置...;

    return http.build();
}

public class ConditionalAuthenticationEntryPoint implements ServerAuthenticationEntryPoint {
    private final RedirectServerAuthenticationEntryPoint oauth2EntryPoint;
    private final RedirectServerAuthenticationEntryPoint loginFormEntryPoint;

    public ConditionalAuthenticationEntryPoint() {
        this.oauth2EntryPoint = new RedirectServerAuthenticationEntryPoint("/oauth2/authorization/oauth-client");
        this.loginFormEntryPoint = new RedirectServerAuthenticationEntryPoint("/login");
    }

    @Override
    public Mono<Void> commence(final ServerWebExchange exchange, final AuthenticationException ex) {
        return exchange
            .getSession()
            .map(session -> {
                if (session.getAttribute("local") != null) {
                    return true;
                }
                var local = exchange.getRequest().getQueryParams().containsKey("local");
                if (local) {
                    session.getAttributes().putIfAbsent("local", true);
                }
                return local;
            })
            .flatMap(local -> {
                if (local) {
                    return loginFormEntryPoint.commence(exchange, ex);
                } else {
                    return oauth2EntryPoint.commence(exchange, ex);
                }
            });
    }
}

但这导致了无限重定向循环，请问这是正确的实现思路吗？

问题分析与解决方案 #

你的思路方向是对的，无限重定向的核心原因是：自定义认证入口点重定向到的OAuth授权端点、表单登录页，没有被排除在认证拦截范围外，导致每次重定向后又触发认证流程，形成循环。

修正步骤： #

1. 添加白名单排除关键端点
   在Security配置中，将登录页（/login）和OAuth授权端点（/oauth2/authorization/oauth-client）加入白名单，避免这些端点被认证拦截：

@Bean
public SecurityWebFilterChain springSecurityFilterChain(final ServerHttpSecurity http) {
    http
        .authorizeExchange(exchanges -> exchanges
            .pathMatchers("/login", "/oauth2/authorization/oauth-client").permitAll()
            .anyExchange().authenticated()
        )
        .oauth2Login(withDefaults())
        .formLogin(withDefaults())
        .exceptionHandling(c -> c.authenticationEntryPoint(customAuthenticationEntryPoint()));

    return http.build();
}

2. 优化自定义认证入口点逻辑
   如果仅需要初始请求参数决定登录入口，可简化session存储逻辑（若需后续请求保持登录方式，可保留session逻辑）：

@Component
public class ConditionalAuthenticationEntryPoint implements ServerAuthenticationEntryPoint {
    private final RedirectServerAuthenticationEntryPoint oauth2EntryPoint;
    private final RedirectServerAuthenticationEntryPoint loginFormEntryPoint;

    public ConditionalAuthenticationEntryPoint() {
        this.oauth2EntryPoint = new RedirectServerAuthenticationEntryPoint("/oauth2/authorization/oauth-client");
        this.loginFormEntryPoint = new RedirectServerAuthenticationEntryPoint("/login");
    }

    @Override
    public Mono<Void> commence(final ServerWebExchange exchange, final AuthenticationException ex) {
        boolean isLocalLogin = exchange.getRequest().getQueryParams().containsKey("local");
        return isLocalLogin ? loginFormEntryPoint.commence(exchange, ex) : oauth2EntryPoint.commence(exchange, ex);
    }
}

3. 验证OAuth端点有效性
   确保/oauth2/authorization/oauth-client能正确指向你的OAuth提供商（如GitHub、Google等），避免因端点无效导致的异常重定向。

关键说明： #

• 白名单配置是解决无限重定向的核心：若不排除登录页和OAuth授权端点，这些端点会被Security拦截，再次触发认证入口点，形成循环。
• 自定义认证入口点的核心逻辑（根据请求参数选择登录入口）是可行的，只需修正拦截范围即可解决问题。

内容的提问来源于stack exchange，提问作者user3700458