Spring Authorization Server授权同意时state参数为何重生成？

当客户端调用/authorize端点且需要用户授权同意时，Spring Security Authorization Server（1.0至1.2版本）会通过Base64StringKeyGenerator生成新的state值，核心原因是服务器需要一个内部可控的跟踪标识来绑定授权请求与用户会话，同时保护授权流程的安全性，具体逻辑如下：

• 服务器接收到包含state=stateA的客户端请求后，会将完整的授权请求（包括客户端传入的stateA）存入服务器端会话存储。
• 为了防止授权请求被篡改、避免CSRF攻击，服务器会生成一个独立的内部跟踪密钥（由Base64StringKeyGenerator生成），这个密钥会用于用户授权交互的全流程（比如跳转至授权页面、提交授权同意表单时携带），用来验证当前操作对应的是之前存储的合法授权请求。
• 正常情况下，当用户完成授权同意后，服务器会通过这个内部跟踪密钥取出原始的授权请求，提取其中的stateA，并将其作为回调URL的state参数返回给客户端。

如果出现回调时返回的是服务器生成的新state而非客户端传入的stateA，通常是以下场景导致的异常：

• 服务器会话存储配置异常，无法正确读取或还原原始授权请求中的stateA；
• 自定义了授权流程的处理逻辑，覆盖了默认的从原始请求中提取客户端state的行为；
• 客户端配置的redirect_uri与请求中携带的不一致，触发了流程异常。

内容的提问来源于stack exchange，提问作者Joseph