Spring API Gateway集成Spring Security返回空响应问题求助

我来帮你梳理这个问题，结合你给出的配置，下面几个关键点是导致空响应的大概率原因，你可以逐一排查：

1. 启用TokenRelay过滤器（最关键） #

你的网关配置里TokenRelay=被注释掉了，这个过滤器是实现用户令牌中继的核心——它会把网关收到的用户OAuth2令牌自动转发给下游业务服务。如果没启用，下游服务可能因为没有拿到有效身份令牌，返回空内容（虽然HTTP状态码是200）。

修改application.yml里的默认过滤器：

default-filters:
  - TokenRelay=
  - SaveSession

2. 修正SecurityWebFilterChain的权限配置 #

当前你的SecurityConfig设置了anyExchange().permitAll()，这会直接绕过所有请求的认证校验，和你配置的oauth2Client、oauth2Login逻辑完全冲突。你需要针对不同路径配置合理的权限规则：

• 开放认证相关路径（比如/api/auth/**）无需认证
• 其他业务路径必须经过认证

更新SecurityConfig的代码：

@Bean
public SecurityWebFilterChain configure(ServerHttpSecurity http) {
    http.headers().cache().disable()
        .frameOptions().disable()
        .xssProtection().disable()
        .contentTypeOptions().disable()
        .and().csrf().disable()
        .authorizeExchange(exchanges -> exchanges
            .pathMatchers("/api/auth/**").permitAll() // 开放认证接口
            .anyExchange().authenticated()) // 其他路径需要认证
        .oauth2Client()
        .and().oauth2Login();
    return http.build();
}

3. 删除自定义的WebClient路由/响应过滤器 #

你在OauthConfig里自定义了WebClientHttpRoutingFilter和WebClientWriteResponseFilter这两个Bean，这会直接覆盖Spring Gateway的默认实现。默认过滤器已经处理了请求转发和响应体写入的逻辑，自定义实现很可能没有正确传递响应内容，导致前端拿到空响应。

直接删掉这两个Bean的定义即可：

// 移除这两个自定义Bean
// @Bean
// public WebClientHttpRoutingFilter webClientHttpRoutingFilter(...) { ... }

// @Bean
// public WebClientWriteResponseFilter webClientWriteResponseFilter() { ... }

4. 调整WebClient的令牌传递逻辑 #

你的WebClient配置了setDefaultOAuth2AuthorizedClient(true)和setDefaultClientRegistrationId(clientRegistrationId)，这会让网关用自己的客户端凭据去获取令牌，而不是转发用户的身份令牌。如果你的下游业务服务需要的是用户的身份令牌，这个逻辑就会出错。

调整WebClient配置，去掉默认客户端设置，让TokenRelay过滤器来处理令牌转发：

@Bean
WebClient webClient(ReactiveOAuth2AuthorizedClientManager authorizedClientManager) {
    ServerOAuth2AuthorizedClientExchangeFilterFunction oauth2Client = new ServerOAuth2AuthorizedClientExchangeFilterFunction(authorizedClientManager);
    // 移除这两行，依赖TokenRelay处理用户令牌转发
    // oauth2Client.setDefaultOAuth2AuthorizedClient(true);
    // oauth2Client.setDefaultClientRegistrationId(clientRegistrationId);
    return WebClient.builder()
            .filter(oauth2Client)
            .build();
}

5. 利用Debug日志定位细节 #

你已经开启了详细的Debug日志，重点关注以下几类日志：

• org.springframework.cloud.gateway：查看请求是否正确路由到下游服务，以及网关处理响应的流程
• reactor.netty.http.client：确认WebClient调用下游服务时，下游是否真的返回了内容
• org.springframework.security.oauth2：检查令牌的获取、传递流程是否正常

如果下游服务确实返回了内容，但网关没有传递到前端，那就是响应过滤器的问题；如果下游本身返回空，就需要排查下游服务的认证授权逻辑。

内容的提问来源于stack exchange，提问作者Aniket Gupta