Spring Boot 3集成Keycloak OAuth遇重定向过多及授权请求丢失问题

核心问题 #

你的配置存在三个关键问题，直接导致了重定向循环和认证错误：

1. FilterChain规则冲突：两个SecurityFilterChain的匹配范围完全重叠，Order(2)的链用AntPathRequestMatcher("*")匹配所有请求，包括OAuth2登录回调（如/login/oauth2/code/keycloak）——这些回调路径被强制要求认证，触发循环重定向。
2. 不必要的模式拆分：你的应用是完全私有Web应用，使用OAuth2登录（基于会话），不需要同时启用资源服务器（JWT）模式的FilterChain，两种模式冲突打乱了认证流程。
3. 错误的公开路径配置：原配置仅开放了根路径/，但未放行OAuth2登录必需的回调、登出相关端点，导致认证流程被拦截。

修正后的配置 #

@Configuration
@EnableWebSecurity
internal class SecurityConfig {

    @Bean
    protected fun sessionAuthenticationStrategy(): SessionAuthenticationStrategy {
        return RegisterSessionAuthenticationStrategy(SessionRegistryImpl())
    }

    @Bean
    @Throws(Exception::class)
    fun securityFilterChain(http: HttpSecurity): SecurityFilterChain {
        http
            .authorizeHttpRequests { auth ->
                // 放行OAuth2登录、回调及登出成功页面
                auth.requestMatchers(
                    AntPathRequestMatcher("/login/**"),
                    AntPathRequestMatcher("/login/oauth2/**"),
                    AntPathRequestMatcher("/logout-success")
                ).permitAll()
                // 所有其他请求必须经过认证
                auth.anyRequest().authenticated()
            }
            .oauth2Login { oauth2 ->
                // 登录成功后默认跳转到根路径
                oauth2.defaultSuccessUrl("/", true)
            }
            .logout { logout ->
                logout
                    // 若需同步登出Keycloak，取消注释并注入KeycloakLogoutHandler
                    // .addLogoutHandler(keycloakLogoutHandler)
                    .logoutSuccessUrl("/logout-success")
                    .invalidateHttpSession(true)
            }

        return http.build()
    }

    @Bean
    @Throws(Exception::class)
    fun authenticationManager(http: HttpSecurity): AuthenticationManager {
        return http.getSharedObject(AuthenticationManagerBuilder::class.java)
            .build()
    }
}

关键调整说明 #

• 合并FilterChain：移除多余的resourceServerFilterChain，用单一FilterChain处理所有请求，彻底避免规则冲突。
• 精准放行必要端点：明确开放OAuth2登录流程依赖的路径，这些是Spring Security自动处理认证回调的入口，必须公开才能完成登录流程。
• 实现完全私有：除上述必要路径外，所有请求均需认证，满足应用完全私有的需求。
• 优化登出逻辑：添加会话失效配置，确保登出时彻底清理用户会话。

额外注意事项 #

1. 检查application.properties/yml中的Keycloak客户端配置，确保spring.security.oauth2.client.registration.keycloak和spring.security.oauth2.client.provider.keycloak的参数（如客户端ID、密钥、授权端点）正确无误。
2. 确认Keycloak控制台中，对应客户端的Valid Redirect URIs已配置为http://localhost:8080/*或具体的回调路径。
3. 若需同时保护API接口（资源服务器模式），需单独为API路径配置独立的FilterChain，确保与Web应用的路径规则不重叠。

内容的提问来源于stack exchange，提问作者theravencookie