JHipster 8集成OAuth2的Java应用所有请求均返回404错误

问题重现 #

搭建基础JHipster 8 Java应用并集成OAuth2后，所有请求返回404，调整KeyCloak/Auth0配置无效。操作流程：

• 启动依赖服务：docker-compose -f src/main/docker/services.yml up
• 启动应用：./mvnw
• 访问localhost:8081跳转至http://localhost:8081/404，日志抛出org.springframework.security.access.AccessDeniedException: Access Denied

排查与解决步骤 #

1. 核对OAuth2客户端配置一致性

• 确保KeyCloak/Auth0中的客户端ID、客户端密钥与应用配置文件（application.yml/application-dev.yml）里的spring.security.oauth2.client.registration.*字段完全匹配，注意大小写、特殊字符无遗漏
• 验证授权服务器地址（spring.security.oauth2.client.provider.*.issuer-uri）正确性：KeyCloak需包含realm路径，例如http://localhost:9080/realms/jhipster；Auth0需使用正确的租户issuer地址

2. 调整Spring Security权限映射与放行规则

JHipster 8默认Security配置可能未正确处理OAuth2用户权限：

• 在SecurityConfiguration类中添加OAuth2角色映射逻辑，将授权服务器返回的角色转换为Spring Security可识别的权限：

@Bean
public GrantedAuthoritiesMapper userAuthoritiesMapper() {
    return authorities -> {
        Set<GrantedAuthority> mappedAuthorities = new HashSet<>();
        authorities.forEach(authority -> {
            if (authority instanceof OidcUserAuthority oidcUserAuthority) {
                // 适配KeyCloak/Auth0的角色字段，KeyCloak常用"groups"，Auth0常用"roles"
                mappedAuthorities.addAll(oidcUserAuthority.getUserInfo()
                        .getClaimAsStringList("groups")
                        .stream()
                        .map(SimpleGrantedAuthority::new)
                        .toList());
            }
        });
        return mappedAuthorities;
    };
}

• 确保SecurityFilterChain对登录路径、静态资源、错误页面放行：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
                .requestMatchers("/", "/login/**", "/error/**", "/webjars/**", "/favicon.ico").permitAll()
                .anyRequest().authenticated())
        .oauth2Login(Customizer.withDefaults());
    return http.build();
}

3. 验证授权服务器的用户角色配置

• 在KeyCloak/Auth0中为测试用户分配至少一个JHipster认可的角色（如ROLE_USER），无有效角色会导致登录后触发AccessDeniedException
• 通过浏览器开发者工具查看OAuth2回调时的ID Token内容，确认角色/权限字段已正确返回

4. 核对回调地址与应用端口

• 确认授权服务器中配置的回调地址（例如http://localhost:8081/login/oauth2/code/keycloak）与应用实际端口、协议完全匹配，避免因端口错误导致回调失败后跳转404

5. 开启详细日志定位问题

在application-dev.yml中添加Spring Security调试日志：

logging:
  level:
    org.springframework.security: DEBUG
    org.springframework.web: DEBUG

查看日志中授权流程的token获取、角色转换、权限校验环节，定位具体阻塞点

内容的提问来源于stack exchange，提问作者bluegeek