Spring Boot OAuth2 Twitch认证问题：授权成功但无法访问受保护端点

核心问题排查方向及修复建议 #

1. 重定向URI配置错误 #

你的redirect-uri设置为http://localhost:8080/secure，这是受保护的端点。当Twitch授权完成后跳转回这个地址时，Spring Security还未完成用户认证上下文的构建，会直接拦截该请求，导致授权成功后仍无法访问。

修复方案：
使用Spring OAuth2 Client默认的回调路径，或者配置一个不受保护的专用回调地址：

• 方式一：使用默认回调路径，修改application.properties：

spring.security.oauth2.client.registration.twitch.redirect-uri={baseUrl}/login/oauth2/code/{registrationId}

• 方式二：自定义回调路径并在安全配置中放行：
  1. 修改application.properties：

  spring.security.oauth2.client.registration.twitch.redirect-uri=http://localhost:8080/twitch/callback
  

  2. 在SecurityConfig中放行该路径：

  @Bean
  SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
      return http
              .authorizeHttpRequests(auth -> {
                  auth.requestMatchers("/", "/twitch/callback").permitAll();
                  auth.anyRequest().authenticated();
              })
              .oauth2Login(Customizer.withDefaults())
              .build();
  }
  

2. 多余的FormLogin配置干扰认证流程 #

你在安全配置中同时启用了oauth2Login和formLogin，这两个认证机制可能会冲突，导致OAuth2认证成功后，会话未正确关联认证信息。

修复方案：
移除formLogin(Customizer.withDefaults())，保留oauth2Login即可：

@Bean
SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
            .authorizeHttpRequests(auth -> {
                auth.requestMatchers("/").permitAll();
                auth.anyRequest().authenticated();
            })
            .oauth2Login(Customizer.withDefaults())
            .build();
}

3. Twitch用户信息端点的响应适配验证 #

Twitch的userinfo端点返回的字段是否符合Spring Security的预期，需要确认user-name-attribute配置正确。你当前设置的是preferred_username，可以通过以下方式验证：

• 手动调用Twitch的userinfo端点（携带授权后的access_token），查看返回的JSON结构，确认是否存在preferred_username字段。
• 如果字段名不符，修改spring.security.oauth2.client.provider.twitch.user-name-attribute为正确的字段（比如login，Twitch用户信息中通常用login表示用户名）。

示例验证请求：

curl -H "Authorization: Bearer YOUR_ACCESS_TOKEN" https://id.twitch.tv/oauth2/userinfo

如果返回的结构类似：

{
  "sub": "123456",
  "login": "your_twitch_name",
  "preferred_username": "your_twitch_name",
  "email": "your@email.com"
}

则当前配置是正确的；如果没有preferred_username，则改为login。

4. 会话与Cookie配置检查 #

确保Spring Security的会话管理正常，Cookie能正确保存认证信息：

• 检查浏览器开发者工具的Cookie面板，确认是否存在JSESSIONID或Spring Security相关的Cookie。
• 如果是跨域场景（虽然这里是localhost），需要配置Cookie的SameSite属性，但本地测试通常不需要。

额外排查步骤 #

• 开启Spring Security的调试日志，查看认证流程的详细信息：
  在application.properties中添加：

  logging.level.org.springframework.security=DEBUG
  

  查看日志中是否有认证成功的记录，以及访问/secure时的认证状态判断。
• 确认Twitch开发者后台的重定向URI与配置中的完全一致，包括协议（http/https）、端口和路径，任何细微差异都会导致授权失败或会话异常。

内容的提问来源于stack exchange，提问作者msdemir