Spring认证服务器openid scope同意页不显示及自定义显示范围问题

一、OpenID Scope同意页不显示的原因及解决 #

• OpenID Scope的协议特殊性：Spring Security OAuth2遵循OpenID Connect规范，默认将openid视为核心身份标识scope——用户登录动作本身就隐含了对该scope的授权（用于获取用户唯一标识sub等核心身份声明），因此默认不会触发同意页。
• 配置层面的默认规则：授权服务器默认对openid scope设置了consentRequired=false，若未显式修改该配置，就不会弹出同意页。

解决步骤：

1. 显式强制openid scope需要同意
   在授权服务器配置类中，针对客户端的scope配置强制同意规则：

   @Bean
   public OAuth2AuthorizationServerConfigurer authorizationServerConfigurer() {
       return new OAuth2AuthorizationServerConfigurer()
           // 其他必要配置（如客户端仓库、授权服务等）...
           .clientSettings(clientSettings -> clientSettings
               .scopeSettings(scopeSettings -> {
                   // 强制openid scope需要用户确认
                   scopeSettings.setConsentRequired("openid", true);
               })
           );
   }
   

2. 检查自定义授权同意逻辑
   若你自定义了OAuth2AuthorizationConsentService或同意页控制器，确保没有过滤掉openid scope的同意请求，需将其纳入同意判断范围。

二、仅针对特定Scope显示同意页的实现 #

完全可以针对不同scope配置是否需要同意，常见实现方式有两种：

• 客户端注册时精准配置
  在客户端注册阶段，为每个scope单独设置同意要求：

  ClientRegistration clientRegistration = ClientRegistration.withRegistrationId("your-client")
      .clientId("your-client-id")
      .clientSecret("your-client-secret")
      .redirectUri("https://your-client.com/callback")
      .scope("read", "write", "profile", "openid")
      .scopeSettings(settings -> {
          settings.setConsentRequired("read", true);    // 仅read需要同意
          settings.setConsentRequired("write", false);   // write跳过同意
          settings.setConsentRequired("profile", true);  // profile需要同意
          settings.setConsentRequired("openid", false);  // openid跳过同意
      })
      .build();
  

• 自定义同意页逻辑
  若需要更灵活的控制（比如根据用户角色动态判断），可自定义同意页的前后端逻辑：
  • 后端：处理同意请求时，筛选出配置为需要同意的scope列表，传递给前端。
  • 前端：仅渲染需要用户确认的scope选项，让用户只对特定scope完成授权确认。

内容的提问来源于stack exchange，提问作者passonate programmer