如何在现有OAuth2资源服务器配置中添加OAuth2Login实现第三方登录？

1. 调整SecurityFilterChain配置 #

在现有配置中加入oauth2Login相关逻辑，同时注意会话策略适配——OAuth2登录默认需要会话存储授权请求状态，若要保留无状态特性，需额外处理状态存储，或临时放宽会话策略：

public SecurityFilterChain securityFilterChain(HttpSecurity httpSecurity) throws Exception {
    return httpSecurity
            .authorizeHttpRequests(requests-> requests
                    .requestMatchers(requestMatchers).permitAll()
                    // 开放OAuth2登录相关端点
                    .requestMatchers("/oauth2/**", "/login/oauth2/**").permitAll()
                    .anyRequest().authenticated())
            // OAuth2登录需要会话存储授权状态，改为按需创建会话，登录完成后转为JWT无状态认证
            .sessionManagement(sm->sm
                    .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
                    .maximumSessions(1))
            .headers(hs -> hs.frameOptions(HeadersConfigurer.FrameOptionsConfig::disable))
            .cors(Customizer.withDefaults())
            .csrf(getCsrfConfigurerCustomizer())
            .oauth2ResourceServer(oauth2->oauth2.jwt(Customizer.withDefaults()))
            // 配置OAuth2登录核心逻辑
            .oauth2Login(oauth2 -> oauth2
                    // 登录成功后处理用户注册/关联逻辑
                    .successHandler(oAuth2AuthenticationSuccessHandler())
                    // 可选：自定义登录失败跳转
                    .failureHandler(new SimpleUrlAuthenticationFailureHandler("/login-error")))
            .build();
}

2. 配置OAuth2客户端信息 #

在application.yml中添加谷歌和GitHub的客户端凭证（需去对应平台开发者后台创建OAuth应用获取）：

spring:
  security:
    oauth2:
      client:
        registration:
          google:
            client-id: 你的谷歌客户端ID
            client-secret: 你的谷歌客户端密钥
            scope: openid,email,profile  # 请求用户邮箱、基本信息权限
          github:
            client-id: 你的GitHub客户端ID
            client-secret: 你的GitHub客户端密钥
            scope: read:user,user:email  # 请求用户信息和邮箱权限
        provider:
          google:
            issuer-uri: https://accounts.google.com
          github:
            issuer-uri: https://github.com/login/oauth

3. 实现登录成功处理器（核心注册逻辑） #

自定义AuthenticationSuccessHandler，在用户OAuth2登录时检查是否已注册，未注册则自动创建用户，最后生成JWT返回前端适配无状态认证：

@Component
public class OAuth2AuthenticationSuccessHandler implements AuthenticationSuccessHandler {

    private final JwtEncoder jwtEncoder;
    private final UserRepository userRepository;

    // 注入JWT编码器和用户仓库
    public OAuth2AuthenticationSuccessHandler(JwtEncoder jwtEncoder, UserRepository userRepository) {
        this.jwtEncoder = jwtEncoder;
        this.userRepository = userRepository;
    }

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException {
        OAuth2User oAuth2User = (OAuth2User) authentication.getPrincipal();
        OAuth2AuthenticationToken authToken = (OAuth2AuthenticationToken) authentication;
        String provider = authToken.getAuthorizedClientRegistrationId(); // 获取认证提供商（google/github）
        
        // 提取用户信息，不同提供商字段有差异
        String email = oAuth2User.getAttribute("email");
        String username = oAuth2User.getAttribute("name") != null ? 
                          oAuth2User.getAttribute("name") : oAuth2User.getAttribute("login");

        // 检查用户是否已注册
        User user = userRepository.findByEmail(email);
        if (user == null) {
            // 首次登录，创建新用户
            user = new User();
            user.setEmail(email);
            user.setUsername(username);
            user.setProvider(provider);
            user.setEnabled(true);
            userRepository.save(user);
        }

        // 生成JWT令牌返回给前端
        Instant now = Instant.now();
        JwtClaimsSet claims = JwtClaimsSet.builder()
                .issuer("你的应用标识")
                .issuedAt(now)
                .expiresAt(now.plusSeconds(36000)) // 令牌有效期10小时
                .subject(user.getId().toString())
                .claim("roles", "ROLE_USER") // 默认分配基础角色
                .build();

        String jwtToken = jwtEncoder.encode(JwtEncoderParameters.from(claims)).getTokenValue();

        // 以JSON格式返回令牌
        response.setContentType(MediaType.APPLICATION_JSON_VALUE);
        new ObjectMapper().writeValue(response.getOutputStream(), 
                                      Map.of("access_token", jwtToken, "token_type", "Bearer"));
    }
}

4. 关键注意点 #

• 客户端凭证获取：谷歌去Google Cloud Console创建OAuth 2.0客户端ID，GitHub去Settings -> Developer settings -> OAuth Apps创建应用，回调地址需与应用登录回调地址一致（比如http://localhost:8080/login/oauth2/code/google）。
• 无状态适配：若必须严格使用SessionCreationPolicy.STATELESS，需自定义AuthorizationRequestRepository，将授权请求状态存储在Cookie或数据库中，替代默认会话存储。
• 用户属性兼容：不同提供商的用户字段有差异，比如GitHub的用户名是login字段，邮箱需申请user:email权限才能获取，需根据实际情况调整属性提取逻辑。
• 权限扩展：可在注册用户时根据业务需求分配不同角色，后续通过UserDetailsService整合到认证流程中。

内容的提问来源于stack exchange，提问作者ElieA