如何配置路径重写反向代理后的Spring Boot OAuth2安全？

针对你提到的场景（外部地址https://outside.example.com/my-app反向代理到内部https://inside.example.com:8080/），除了配置server.forward-headers-strategy=FRAMEWORK，还需要做以下关键配置来适配路径重写：

1. 适配外部上下文路径 #

内部应用运行在根路径/，但外部访问时带有/my-app前缀，必须让Spring Boot感知这个外部前缀，才能生成正确的OAuth2回调、跳转地址。

方案一：直接配置上下文路径 #

在application.yml或application.properties中添加：

server:
  forward-headers-strategy: FRAMEWORK
  servlet:
    context-path: /my-app

properties格式：

server.forward-headers-strategy=FRAMEWORK
server.servlet.context-path=/my-app

方案二：通过反向代理传递前缀头 #

如果内部应用无法修改上下文路径（比如Docker容器固定用根路径），可以让反向代理添加X-Forwarded-Prefix请求头，Spring Boot会自动识别并使用这个前缀生成外部URL。此时无需设置server.servlet.context-path，只需确保反向代理转发时携带：

X-Forwarded-Prefix: /my-app

2. 配置OAuth2客户端回调URL #

OAuth2授权服务器的回调地址必须匹配外部访问路径，推荐使用Spring提供的占位符自动拼接：

spring:
  security:
    oauth2:
      client:
        registration:
          your-provider: # 替换为你的授权服务商（如github、google等）
            client-id: your-client-id
            client-secret: your-client-secret
            redirect-uri: "{baseUrl}/login/oauth2/code/your-provider"

{baseUrl}会自动替换为包含/my-app前缀的外部完整基础地址，确保回调地址与授权服务器上配置的一致。

3. 调整Spring Security路径匹配 #

自定义Security规则时，使用相对路径即可，Spring Security会自动适配上下文路径：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/", "/home").permitAll()
            .anyRequest().authenticated()
        )
        .oauth2Login(oauth2 -> oauth2
            .loginPage("/login") // 自动拼接为/my-app/login
        );
    return http.build();
}

4. 确保反向代理传递必要请求头 #

反向代理必须正确传递以下请求头，让Spring Boot获取真实的外部请求信息：

• X-Forwarded-Proto：传递外部协议（http/https）
• X-Forwarded-Host：传递外部主机名
• X-Forwarded-Port：传递外部端口
• X-Forwarded-Prefix：传递外部路径前缀（/my-app）

以Nginx为例，反向代理配置片段：

location /my-app/ {
    proxy_pass https://inside.example.com:8080/;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Host $host;
    proxy_set_header X-Forwarded-Port $server_port;
    proxy_set_header X-Forwarded-Prefix /my-app;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}

内容的提问来源于stack exchange，提问作者stackoverflowed