基于Spring Security的SPA与Web API OAuth2授权码流启动问题

一、当前API跳转方式的合规性 #

当前通过window.location.assign("http://<api-server:port>/oauth2/authorization/cognito")启动授权的方式合规且推荐。Spring Security OAuth2客户端会自动完成以下符合OAuth2规范的操作：

• 生成用于CSRF防护的state参数（不可解密是因为它是随机值+签名，后端仅需验证签名有效性即可）
• 生成用于OpenID Connect ID Token防重放的nonce参数
• 自动拼接所有合法的授权请求参数，避免手动拼接出错

这种方式的核心是让后端作为OAuth2客户端代理，前端无需处理OAuth2复杂逻辑，既降低开发成本也减少前端安全风险。

二、实现登录后跳回原页面（替换硬编码跳转） #

要通过state参数存储原页面URL，无需前端手动构造state，可按以下步骤实现：

1. 前端跳转时携带原页面URL
   点击登录按钮时，将当前页面URL作为参数传给API授权端点：

   const currentUrl = window.location.href;
   window.location.assign(`http://<api-server:port>/oauth2/authorization/cognito?redirect_to=${encodeURIComponent(currentUrl)}`);
   

2. 后端自定义授权请求处理器
   扩展OAuth2AuthorizationRequestResolver，将redirect_to参数存入state（Spring Security会自动对state做签名保护）：

   @Component
   public class CustomAuthorizationRequestResolver implements OAuth2AuthorizationRequestResolver {
       private final DefaultOAuth2AuthorizationRequestResolver delegate;
   
       public CustomAuthorizationRequestResolver(ClientRegistrationRepository clientRegistrationRepository, String authorizationRequestBaseUri) {
           this.delegate = new DefaultOAuth2AuthorizationRequestResolver(clientRegistrationRepository, authorizationRequestBaseUri);
       }
   
       @Override
       public OAuth2AuthorizationRequest resolve(HttpServletRequest request) {
           OAuth2AuthorizationRequest authorizationRequest = delegate.resolve(request);
           return customizeAuthorizationRequest(authorizationRequest, request);
       }
   
       @Override
       public OAuth2AuthorizationRequest resolve(HttpServletRequest request, String clientRegistrationId) {
           OAuth2AuthorizationRequest authorizationRequest = delegate.resolve(request, clientRegistrationId);
           return customizeAuthorizationRequest(authorizationRequest, request);
       }
   
       private OAuth2AuthorizationRequest customizeAuthorizationRequest(OAuth2AuthorizationRequest authorizationRequest, HttpServletRequest request) {
           if (authorizationRequest == null) {
               return null;
           }
           String redirectTo = request.getParameter("redirect_to");
           if (redirectTo != null) {
               Map<String, Object> additionalParameters = new HashMap<>(authorizationRequest.getAdditionalParameters());
               additionalParameters.put("redirect_to", redirectTo);
               return OAuth2AuthorizationRequest.from(authorizationRequest)
                       .additionalParameters(additionalParameters)
                       .build();
           }
           return authorizationRequest;
       }
   }
   

3. 配置成功处理器获取原URL跳转
   在SimpleUrlAuthenticationSuccessHandler中，从认证上下文取出state中的redirect_to参数，替换硬编码地址：

   @Override
   public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
       OAuth2AuthenticationToken oauthToken = (OAuth2AuthenticationToken) authentication;
       OAuth2AuthorizedClient authorizedClient = authorizedClientService.loadAuthorizedClient(
               oauthToken.getAuthorizedClientRegistrationId(),
               oauthToken.getName());
       String redirectTo = (String) authorizedClient.getAuthorizationRequest().getAdditionalParameters().get("redirect_to");
       String targetUrl = redirectTo != null ? redirectTo : "/default-page";
       getRedirectStrategy().sendRedirect(request, response, targetUrl);
   }
   

4. 注册自定义Resolver到Spring Security
   在SecurityConfig中配置：

   @Bean
   public SecurityFilterChain filterChain(HttpSecurity http, CustomAuthorizationRequestResolver authorizationRequestResolver) throws Exception {
       http
           .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
           .oauth2Login(oauth2 -> oauth2
               .authorizationEndpoint(endpoint -> endpoint
                   .authorizationRequestResolver(authorizationRequestResolver))
               .successHandler(customAuthenticationSuccessHandler()));
       return http.build();
   }
   

三、直接调用Cognito授权端点的相关问题 #

1. 浏览器中保存client_id是否安全？ #

安全。OAuth2规范中client_id是公开标识，仅用于授权服务器识别客户端，无需保密。需要保密的是client_secret——如果你的React是纯前端公共客户端，需在Cognito中配置为「公共客户端」模式，此时无需使用client_secret，避免敏感信息暴露。

2. 手动设置nonce和state参数 #

若选择直接调用Cognito授权端点，需手动生成以下参数：

• state参数

  • 作用：防CSRF攻击，同时可携带原页面URL
  • 生成方式：用crypto.randomUUID()生成随机字符串，将原URL与该字符串绑定存储在sessionStorage中（授权成功后Cognito会原样返回state，需验证有效性）
  • 示例：

    const state = crypto.randomUUID();
    const currentUrl = window.location.href;
    sessionStorage.setItem(`oauth_state_${state}`, currentUrl);
    const authUrl = `https://<provider-url>/oauth2/authorize?response_type=code&client_id=xxx&scope=openid&state=${state}&redirect_uri=http://<frontend-domain>/callback&nonce=${nonce}`;
    

    回调时：取出返回的state，检查sessionStorage中是否有对应记录，存在则跳转原URL并删除记录。

• nonce参数

  • 作用：防止ID Token重放攻击，需与ID Token中的nonce一致
  • 生成方式：用crypto.randomUUID()生成随机字符串，存储在sessionStorage中，回调时解析ID Token对比验证
  • 示例：

    const nonce = crypto.randomUUID();
    sessionStorage.setItem(`oauth_nonce_${nonce}`, nonce);
    // 拼接进授权URL
    

3. 直接调用的注意事项 #

• redirect_uri必须是Cognito客户端配置中预先注册的合法地址，否则授权失败
• 公共客户端模式下，response_type=code返回的授权码需发送到API后端，由后端换取令牌（避免令牌暴露在浏览器）
• 相比API跳转方式，直接调用需前端处理更多OAuth2细节，出错概率更高，安全性需自行把控，更推荐使用Spring Security代理的方式。

内容的提问来源于stack exchange，提问作者v1p3r