Spring Cloud Gateway未授权路由仍重定向至Keycloak问题排查

1. 路由过滤器的冲突 #

检查你的Spring Cloud Gateway路由配置，确认/路径的路由是否添加了OAuth2相关过滤器（比如TokenRelayGatewayFilterFactory）。如果路由里强制加入了token转发类的过滤器，即便Security配置允许/匿名访问，过滤器仍会要求请求携带有效token，进而触发重定向到Keycloak登录页面。

解决：给/对应的路由移除OAuth2相关过滤器，示例配置如下：

spring:
  cloud:
    gateway:
      routes:
        - id: angular-frontend
          uri: http://your-nginx-container:port
          predicates:
            - Path=/
          filters:
            # 移除TokenRelay等需要认证的过滤器配置

2. 路径匹配的覆盖不全 #

Spring Security的pathMatchers("/")仅匹配严格的根路径请求，但浏览器加载/时，可能会自动触发对/index.html的请求（Angular前端的默认入口），或者前端框架初始化时跳转其他路由，这些路径如果不在permitAll列表里，就会触发认证逻辑。

解决：将前端入口相关路径补充到permitAll规则中：

.pathMatchers("/", "/index.html", "/*.css", "/*.js", "/favicon.ico").permitAll()

3. 配置顺序导致的逻辑异常 #

你当前的配置中，先定义了authorizeExchange，后配置oauth2Login。虽然理论上permitAll规则优先，但oauth2Login的默认配置可能会覆盖部分认证入口逻辑，导致根路径的匿名规则未生效。

解决：调整配置顺序，确保oauth2Login先被加载，再定义授权规则：

return http
        .oauth2Login(Customizer.withDefaults())
        .authorizeExchange(exchange -> exchange
                .pathMatchers("/", "/*.css", "/*.js", "/favicon.ico").permitAll()
                .anyExchange().authenticated())
        .exceptionHandling(exceptionHandling ->
                exceptionHandling.authenticationEntryPoint(
                        new HttpStatusServerEntryPoint(HttpStatus.UNAUTHORIZED)))
        .logout(logout -> logout.logoutSuccessHandler(
                oidcLogoutSuccessHandler(clientRegistrationRepository)))
        .csrf().disable()
        .build();

4. 浏览器缓存的旧会话干扰 #

浏览器可能缓存了之前未认证的会话状态，导致访问/时依然触发重定向逻辑。

解决：清空浏览器缓存，或使用隐身窗口进行测试。

内容的提问来源于stack exchange，提问作者Arne Hus