Spring Authorization Server 1.2.1未将匿名/authorize请求转发至登录页

你的问题核心是两个SecurityFilterChain配置冲突，且授权服务器端点的认证跳转逻辑未正确设置，具体原因和修复方案如下：

关键问题点 #

1. 端点处理归属错误：你误以为/oauth2/authorize由defaultSecurityFilterChain处理，但authServerSecurityFilterChain标记了@Order(Ordered.HIGHEST_PRECEDENCE)，优先级最高，所有OAuth2授权服务器相关端点（包括/oauth2/authorize）都会被它优先拦截，和defaultSecurityFilterChain无关。
2. 授权服务器FilterChain缺少登录跳转逻辑：OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http)会给/oauth2/authorize配置「需认证」规则，但默认情况下，匿名访问时它会返回401而非重定向到登录页——因为授权服务器默认的认证逻辑是OAuth2相关的，未绑定表单登录的跳转触发机制。

修复方案 #

方案1：调整授权服务器FilterChain，绑定登录跳转 #

修改AuthorizationServerConfig中的authServerSecurityFilterChain，添加异常处理规则，将未认证请求重定向到登录页，同时确保登录页允许匿名访问：

@Configuration
@Import(OAuth2AuthorizationServerConfiguration.class)
public class AuthorizationServerConfig {

    @Bean
    public RegisteredClientRepository registeredClientRepository(final JdbcTemplate jdbcTemplate) {
        return new JdbcRegisteredClientRepository(jdbcTemplate);
    }

    @Bean
    @Order(Ordered.HIGHEST_PRECEDENCE)
    public SecurityFilterChain authServerSecurityFilterChain(final HttpSecurity http) throws Exception {
        OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);
        
        // 配置未认证时重定向到自定义登录页
        http.exceptionHandling(exceptions -> exceptions
                .authenticationEntryPoint(new LoginUrlAuthenticationEntryPoint("/login")));
        
        // 允许匿名访问登录页，避免跳转时被拦截
        http.authorizeHttpRequests(auth -> auth
                .requestMatchers("/login").permitAll());
        
        return http.formLogin(Customizer.withDefaults()).build();
    }
}

方案2：统一表单登录配置，拆分端点处理范围 #

如果你的登录逻辑是全局统一的，可以把表单登录配置移到授权服务器FilterChain中，同时调整WebSecurityConfig的规则，只处理非OAuth2授权服务器的端点：
修改WebSecurityConfig：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig {

    @Bean
    @Order(2)
    public SecurityFilterChain defaultSecurityFilterChain(final HttpSecurity http) throws Exception {
        return http
                .authorizeHttpRequests(authorizeRequests -> authorizeRequests
                        // 排除授权服务器相关端点，交给优先级更高的FilterChain处理
                        .requestMatchers("/oauth2/**", "/login").permitAll()
                        // 其他所有请求需认证
                        .anyRequest().authenticated())
                .build();
    }
}

额外注意事项 #

• 确保你的/login端点存在对应的实现（比如Controller或模板页面），否则会出现404错误；
• 检查会话配置，确保请求保存逻辑正常，避免用户登录后无法回到原授权请求页面。

内容的提问来源于stack exchange，提问作者Simon