Spring Authorization Server OAuth2.0 Kubernetes部署会话/域名问题排查

集群部署可行性 #

认证服务器完全可以和前端、BFF、资源服务器部署在同一Kubernetes集群内，这是微服务架构下的标准部署模式，集群内Service通信具备低延迟、高安全性的优势，无需额外跨集群网络配置。

Service类型选择 #

• ClusterIP：推荐使用该类型。前端通过Ingress路由auth.custom.com访问认证服务器，BFF通过集群内Service名称（auth-server）直接通信，无需对外暴露服务端口，最大程度降低攻击面。
• NodePort/LoadBalancer：仅当认证服务器需要被集群外的非浏览器客户端直接访问时才考虑使用，当前场景下完全不需要。

1. Issuer URI配置不一致 #

BFF的issuer-uri设置为集群内Service名auth-server，但认证服务器对外暴露的Issuer是auth.custom.com，这会触发OAuth2协议的Issuer校验失败：

• BFF从集群内获取的元数据中Issuer为auth-server，而前端从auth.custom.com获取的认证端点返回的Issuer为auth.custom.com，两者不匹配会导致OAuth2 Client流程中断，进而触发ExceptionTranslationFilter处理异常。

2. 重定向URI不匹配 #

认证服务器中BFF对应的客户端配置（redirect_uri）必须严格匹配BFF对外暴露的地址，即https://api.custom.com/client/oauth2/code/{registration-id}：

• 如果配置为集群内地址或错误的域名/路径，认证服务器会拒绝请求，触发重定向URI无效的异常，无法进入OAuth2AuthorizationEndpointFilter处理流程。

3. Cookie域名与路径问题 #

• 认证服务器会话Cookie：如果认证服务器的Cookie Domain设置为集群内Service名（auth-server），浏览器无法识别该域名，无法存储会话Cookie，导致认证流程中无法维持会话，触发未授权异常。需将Cookie Domain设置为auth.custom.com，并开启Secure、HttpOnly属性（适配HTTPS场景）。
• BFF Cookie路径：BFF设置了/client上下文路径，需确保其OAuth2相关Cookie的Path设置为/client，避免与其他服务的Cookie冲突，同时保证前端请求能正确携带Cookie。

4. Ingress路由配置错误 #

若Ingress未正确将auth.custom.com/oauth2/**路径的请求转发到认证服务器的ClusterIP Service：

• 可能导致请求被路由到错误服务或返回404，触发ExceptionTranslationFilter处理未找到资源或权限异常。需验证Ingress的Path规则是否为/oauth2/（Prefix类型），后端Service指向正确的auth-server及端口。

• 查看认证服务器的ExceptionTranslationFilter捕获的具体异常信息，这是定位问题的核心依据（比如InvalidRedirectUriException、InvalidIssuerException等）。
• 修正BFF的issuer-uri为https://auth.custom.com，同时确保认证服务器自身配置的Issuer也是https://auth.custom.com（Spring Security OAuth2 Authorization Server可通过spring.security.oauth2.authorizationserver.issuer配置）。
• 核对认证服务器的客户端配置，确保redirect_uri与BFF对外的完整地址一致（包含/client上下文路径）。
• 检查Ingress配置，验证auth.custom.com的路由规则是否正确转发/oauth2/路径的请求到认证服务器。

内容的提问来源于stack exchange，提问作者loredon