基于BFF模式：网关重定向至OAuth2授权服务器报错排查

核心问题分析与修复 #

1. Redirect URI不匹配（触发400的直接原因） #

客户端（网关）配置的redirect-uri为http://localhost:9000/login，但授权服务器注册的redirect-uris是"http://test"，两者完全不一致。OAuth2协议要求客户端发起授权请求时携带的redirect_uri必须是授权服务器预先注册的有效地址，否则会直接返回400错误。

修正步骤：

• 客户端（网关）配置更新：将redirect-uri改为网关的回调地址，Spring OAuth2客户端默认回调格式为{baseUrl}/login/oauth2/code/{registrationId}，这里应设置为：

  redirect-uri: "http://localhost:8080/login/oauth2/code/myclient"
  

• 授权服务器配置更新：同步更新redirect-uris，添加上述有效回调地址：

  redirect-uris:
    - "http://localhost:8080/login/oauth2/code/myclient"
  

2. 客户端冗余配置优化 #

客户端已配置issuer-uri: http://localhost:9000，Spring会自动从授权服务器的元数据端点（/.well-known/openid-configuration）获取authorization-uri和token-uri，无需手动重复配置，可删除这两项冗余配置，避免潜在的配置不一致问题。

3. PKCE验证兼容性 #

授权服务器开启了require-proof-key: true（强制PKCE验证），Spring OAuth2客户端默认支持PKCE，无需额外配置，但需确保客户端使用的Spring Security OAuth2依赖版本为较新稳定版，避免兼容性问题。

内容的提问来源于stack exchange，提问作者Waheed Durrani