如何同时支持Google OAuth2 Login与JWT两种API端点访问方式

要让API端点同时兼容JWT令牌认证（OAuth2ResourceServer）和Google OAuth2登录，核心是让Spring Security同时加载两种认证过滤器，并处理好会话策略和路径放行的问题。以下是具体实现步骤：

1. 配置Google OAuth2客户端信息 #

在application.properties（或application.yml）中添加Google OAuth2的客户端注册信息：

spring.security.oauth2.client.registration.google.client-id=你的Google Client ID
spring.security.oauth2.client.registration.google.client-secret=你的Google Client Secret
spring.security.oauth2.client.registration.google.scopes=openid,email,profile
spring.security.oauth2.client.provider.google.issuer-uri=https://accounts.google.com

2. 修改SecurityFilterChain配置 #

调整原有配置，加入OAuth2Login支持，同时处理会话和路径拦截逻辑：

public SecurityFilterChain securityFilterChain(HttpSecurity httpSecurity) throws Exception {
    return httpSecurity
            .authorizeHttpRequests(requests -> requests
                    // 放行OAuth2登录相关路径、原有开放路径
                    .requestMatchers(requestMatchers,
                                     "/oauth2/authorization/google",
                                     "/login/oauth2/code/google")
                    .permitAll()
                    // 其余请求需认证
                    .anyRequest().authenticated())
            // 会话策略改为IF_REQUIRED：OAuth2Login需要会话存储认证状态，JWT请求仍保持无状态
            .sessionManagement(sm -> sm.sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED))
            .headers(hs -> hs.frameOptions(HeadersConfigurer.FrameOptionsConfig::disable))
            .cors(Customizer.withDefaults())
            .csrf(getCsrfConfigurerCustomizer())
            // 配置Google OAuth2登录
            .oauth2Login(oauth2 -> oauth2
                    // 登录成功处理器：API场景下可返回JWT，前端后续用令牌访问
                    .successHandler((request, response, authentication) -> {
                        // 自定义JWT生成逻辑，需实现generateJwtToken方法
                        String jwtToken = generateJwtToken(authentication);
                        response.setContentType("application/json");
                        response.getWriter().write("{\"token\":\"" + jwtToken + "\"}");
                    })
                    // 登录失败处理器
                    .failureHandler((request, response, exception) -> {
                        response.setStatus(HttpStatus.UNAUTHORIZED.value());
                        response.getWriter().write("登录失败：" + exception.getMessage());
                    }))
            // 保留原有JWT资源服务器配置
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()))
            .build();
}

3. 优化CSRF配置（可选） #

如果API用JWT、Web端用OAuth2登录会话，需区分CSRF规则：

private CsrfConfigurer<HttpSecurity> getCsrfConfigurerCustomizer() {
    return csrf -> csrf
            // API路径禁用CSRF（JWT无需CSRF保护）
            .ignoringRequestMatchers("/api/**")
            // 会话场景用Cookie存储CSRF令牌，方便前端获取
            .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());
}

关键逻辑说明 #

• 会话策略：将原有STATELESS改为IF_REQUIRED，既支持OAuth2Login的会话存储，又不会强制JWT请求创建会话。
• 认证流程分流：Spring Security会自动识别请求类型：
  • 携带Authorization: Bearer <JWT>头的请求，由OAuth2ResourceServer的JWT过滤器处理认证；
  • 无JWT但需认证的请求，会触发OAuth2Login流程（跳转Google授权页），登录成功后通过会话或返回的JWT进行后续访问。
• 路径放行：必须放行OAuth2登录的触发路径和回调路径，否则会被拦截要求认证。

内容的提问来源于stack exchange，提问作者ElieA