Spring Security自定义Google OAuth2回调生成JWT问题求助

问题背景 #

基于Spring Security开发社交登录/注册功能，希望在Google OAuth2认证完成后，后端生成自定义JWT返回给前端。尝试自定义回调URL接口，但接口中获取到的Authentication是匿名用户，无法继续后续逻辑。

核心原因 #

自定义回调接口会被Spring Security过滤器链优先拦截，此时OAuth2的认证流程尚未完成，框架还未将认证后的用户信息存入SecurityContext，因此获取到的是匿名用户。正确的做法是利用Spring Security OAuth2提供的认证成功处理器来处理认证后的逻辑。

解决方案步骤 #

1. 自定义OAuth2认证成功处理器 #

创建AuthenticationSuccessHandler实现类，在认证成功后生成自定义JWT并返回给前端：

@Component
public class OAuth2AuthenticationSuccessHandler implements AuthenticationSuccessHandler {

    private final JwtTokenProvider jwtTokenProvider;

    // 构造注入JWT生成工具
    public OAuth2AuthenticationSuccessHandler(JwtTokenProvider jwtTokenProvider) {
        this.jwtTokenProvider = jwtTokenProvider;
    }

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        // 转换为OAuth2认证令牌，获取用户信息
        OAuth2AuthenticationToken oauthToken = (OAuth2AuthenticationToken) authentication;
        OAuth2User oauthUser = oauthToken.getPrincipal();
        
        // 这里可以获取用户的邮箱、ID等信息，用于生成JWT或处理注册逻辑
        String userEmail = oauthUser.getAttribute("email");
        String userId = oauthUser.getName();

        // 生成自定义JWT
        String jwtToken = jwtTokenProvider.generateToken(authentication);

        // 返回JSON格式的JWT给前端
        response.setContentType("application/json");
        response.setCharacterEncoding("UTF-8");
        Map<String, String> tokenResponse = new HashMap<>();
        tokenResponse.put("token", jwtToken);
        new ObjectMapper().writeValue(response.getWriter(), tokenResponse);
    }
}

2. 修改Security配置类 #

在OAuth2的SecurityFilterChain中配置自定义的成功处理器，替换默认的回调逻辑：

public class SecurityConfigurer {

    @Autowired
    private JwtTokenProvider jwtTokenProvider;

    @Autowired
    private OAuth2AuthenticationSuccessHandler oauth2AuthenticationSuccessHandler;

    @Bean
    @Order(2)
    public SecurityFilterChain oauthSecurityFilter(HttpSecurity http) throws Exception {
        http
                .authorizeRequests(authorizeRequests ->
                        authorizeRequests
                                .antMatchers("/", "/webjars/**", "/login/oauth2/**").permitAll() // 允许OAuth2相关端点
                                .anyRequest().authenticated()
                )
                .oauth2Login(oauth2 -> oauth2
                        .successHandler(oauth2AuthenticationSuccessHandler) // 绑定自定义成功处理器
                );
        return http.build();
    }

    @Bean
    @Order(1)
    public SecurityFilterChain tokenSecurityFilter(HttpSecurity http) throws Exception {
        http
                .requestMatchers()
                .antMatchers("/api/**", "/auth/**")
                .and()
                .authorizeRequests()
                .anyRequest().authenticated()
                .and()
                .addFilterBefore(new JwtTokenFilter(jwtTokenProvider), UsernamePasswordAuthenticationFilter.class)
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
        return http.build();
    }
}

3. 修正application.yml配置 #

• 修正provider拼写错误（原配置写为provide）
• 调整Google的redirect-uri为框架默认路径，或确保自定义路径被OAuth2过滤器链覆盖
• 修正Facebook的user-info-uri参数格式：

spring:
  mvc:
    pathmatch:
      matching-strategy: ant_path_matcher
  security:
    oauth2:
      client:
        registration:
          google:
            client-id: 637192340032-s0f8qes6kvp5612advp3ohsrdf5f9agp.apps.googleusercontent.com
            client-secret:  ***...
            redirect-uri: "{baseUrl}/login/oauth2/code/google" # 框架默认回调路径
          facebook:
            client-id: 1022739078975165
            client-secret: ****....
            scope:
              - email
              - public_profile
        provider: # 修正拼写错误
          facebook:
            user-info-uri: https://graph.facebook.com/me?fields=email,public_profile # 修正参数格式
            authorization-uri: https://www.facebook.com/v4.0/dialog/oauth
            token-uri: https://graph.facebook.com/v4.0/oauth/access_token
  data:
    mongodb:
      uri: mongodb+srv://mittr926:mittr926@local.7p1nf9y.mongodb.net/mittr?retryWrites=true&w=majority

说明 #

• 无需自定义回调URL接口，框架会自动处理OAuth2的回调流程，认证成功后触发AuthenticationSuccessHandler
• 在成功处理器中可以直接获取到已认证的OAuth2AuthenticationToken，包含用户的所有信息（如邮箱、昵称等）
• 可以在成功处理器中额外处理用户注册逻辑（比如判断用户是否首次登录，创建数据库记录）

内容的提问来源于stack exchange，提问作者Subhadeep