如何跳过Spring Security OAuth2登录默认提供商选择页面

已完成Spring Boot/Security与Keycloak的基础整合：访问受保护资源时会重定向至默认Keycloak登录页，但访问应用的/login路径时，会跳转至OAuth2提供商选择提示页（仅配置了一个Keycloak提供商，该页面完全冗余）。需要跳过此页面或禁用指向该页面的/login路径。

现有配置 #

配置文件（application.yml/application.properties） #

spring.security.oauth2.client.registration.keycloak.client-id=some-client
spring.security.oauth2.client.registration.keycloak.client-secret=copied_secret
spring.security.oauth2.client.registration.keycloak.authorization-grant-type=authorization_code
spring.security.oauth2.client.registration.keycloak.scope=openid
spring.security.oauth2.client.provider.keycloak.issuer-uri=http://localhost:8180/realms/some_realm
spring.security.oauth2.client.provider.keycloak.user-name-attribute=preferred_username
spring.security.oauth2.resourceserver.jwt.issuer-uri=http://localhost:8180/realms/some_realm

安全配置类 #

@EnableWebSecurity
@Configuration(proxyBeanMethods = false)
public class WebSecurityConfig {

    private final KeycloakLogoutHandler keycloakLogoutHandler;
    
    WebSecurityConfig(KeycloakLogoutHandler keycloakLogoutHandler) {    
         this.keycloakLogoutHandler = keycloakLogoutHandler;    
    }

    @Bean   
    protected SessionAuthenticationStrategy sessionAuthenticationStrategy() {   
         return new RegisterSessionAuthenticationStrategy(new SessionRegistryImpl());   
     }

     @Bean  
     public SecurityFilterChain clientFilterChain(HttpSecurity http) throws Exception { 
         http.authorizeHttpRequests(authorize ->
            authorize.requestMatchers(
                 "/",
                 "/themes/**",
                 "/login")
            .permitAll()
            .anyRequest().authenticated()
         );
         http.oauth2Login(Customizer.withDefaults())
             .logout(logoutCustomizer ->
                     logoutCustomizer.addLogoutHandler(keycloakLogoutHandler)
                             .logoutSuccessUrl("/"));
         return http.build();
     }

     @Bean
     public AuthenticationManager authenticationManager(HttpSecurity http) throws Exception {
         return http.getSharedObject(AuthenticationManagerBuilder.class)
                 .build();
     }
}

已尝试但无效的方法 #

• 使用formLogin().disable()禁用该页面，也尝试了新的自定义器方式禁用；
• 创建并保护其他路径，但/login路径仍存在；
• 为/login路径创建@Controller，但控制器被忽略。

解决方案 #

方法1：修改Security配置，直接指定Keycloak登录入口 #

修改SecurityFilterChain配置，通过oauth2Login指定登录页直接跳转到Keycloak的授权端点，同时移除/login的permitAll配置（不需要再保留这个冗余路径）：

@Bean  
public SecurityFilterChain clientFilterChain(HttpSecurity http) throws Exception { 
    http.authorizeHttpRequests(authorize ->
            authorize.requestMatchers("/", "/themes/**")
                    .permitAll()
                    .anyRequest().authenticated()
    );
    // 直接指向Keycloak的授权入口，跳过提供商选择页
    http.oauth2Login(oauth2 -> oauth2
            .loginPage("/oauth2/authorization/keycloak")
    )
    .logout(logoutCustomizer ->
            logoutCustomizer.addLogoutHandler(keycloakLogoutHandler)
                    .logoutSuccessUrl("/"));
    return http.build();
}

方法2：添加自定义控制器重定向/login路径 #

如果需要保留/login路径，可添加控制器将其直接重定向到Keycloak授权端点，同时确保Security配置中/login保持permitAll：

@Controller
public class LoginRedirectController {

    @GetMapping("/login")
    public String redirectToKeycloak() {
        return "redirect:/oauth2/authorization/keycloak";
    }
}

方法3：利用Spring Security自动跳转特性（5.3+版本） #

Spring Security 5.3及以上版本，当仅配置一个OAuth2客户端时，可通过正确配置issuer-uri让框架自动跳过选择页。若当前配置未生效，可手动指定授权端点：

spring.security.oauth2.client.provider.keycloak.authorization-uri=http://localhost:8180/realms/some_realm/protocol/openid-connect/auth

此时访问/login会直接跳转到Keycloak登录页，无需选择。

关键原理 #

Spring Security OAuth2默认会在/login路径提供提供商选择页，当仅注册一个客户端时，该页面完全冗余。通过指定登录页为具体客户端的授权端点（/oauth2/authorization/{client-id}），或通过控制器重定向，可直接跳过选择流程。

内容的提问来源于stack exchange，提问作者Georgi D.