Spring授权服务迁移后Maven与IDEA测试结果不一致求助

• 环境迁移：从Spring Boot 2.7.x + Spring Authorization Server 0.4.0 升级至 Spring Boot 3.0.2 + Spring Authorization Server 1.0.1
• 异常现象：
  • IntelliJ本地运行测试全部通过
  • Maven命令行执行测试时，携带Cookie访问/oauth/authorize的GET请求返回200（预期应为302重定向）
  • 手动请求应用功能正常
  • 调试发现Maven测试中请求方法被篡改为SES，被Spring Security的FilterChainProxy拒绝

相关配置 #

Security FilterChain 配置 #

http
            .securityMatcher(authorizationEndpointMatcher)
            .authorizeHttpRequests(authorizeRequests -> authorizeRequests.anyRequest().authenticated())
            .csrf(csrf -> csrf.ignoringRequestMatchers(authorizationEndpointMatcher))
            .cors().configurationSource(corsConfigurationSource())
            .and()
            .exceptionHandling().authenticationEntryPoint(
                new CustomAuthenticationEntryPoint(customDomainRepo, identityProviderRepo, serverProperties.getScheme(),
                    clientProperties.getWebClientRedirects(), urlUtil, serverProperties));

自定义TestRestTemplate配置（适配HttpClient5） #

@TestConfiguration
public class TestRestTemplateConfiguration {

    @Bean
    public RestTemplate restTemplate() {
        return new RestTemplate(requestFactory());
    }

    private ClientHttpRequestFactory requestFactory() {
        HttpComponentsClientHttpRequestFactory factory = new HttpComponentsClientHttpRequestFactory();

        HttpClient httpClient = HttpClientBuilder.create()
            .disableRedirectHandling()
            .disableCookieManagement()
            .build();
        factory.setHttpClient(httpClient);
        return factory;
    }
}

排查建议 #

1. 核对Maven与IntelliJ的运行环境差异

   • 对比两者的JVM参数、系统属性、环境变量，重点关注spring.security.*、org.apache.http.*相关配置，排查是否存在参数差异导致请求处理逻辑异常。
   • 检查Maven Surefire插件配置，确认是否添加了特殊JVM参数或系统属性，干扰了HTTP请求解析。

2. 修复HttpClient5兼容性问题

   • Spring Boot 3.x默认使用HttpClient5，当前配置使用的HttpClientBuilder属于HttpClient4.x，存在版本兼容风险，替换为HttpClient5的构建器：

     private ClientHttpRequestFactory requestFactory() {
         HttpComponentsClientHttpRequestFactory factory = new HttpComponentsClientHttpRequestFactory();
         CloseableHttpClient httpClient = HttpClients.custom()
             .disableRedirectHandling()
             .disableCookieManagement()
             .build();
         factory.setHttpClient(httpClient);
         return factory;
     }
     

   • 执行mvn dependency:tree检查依赖树，排除项目中同时存在的HttpClient4.x依赖，避免类加载冲突。

3. 定位请求方法篡改的根源

   • 在测试代码中添加日志，打印请求的原始方法、头信息、Cookie内容，对比IntelliJ与Maven环境下的请求差异。
   • 开启Spring Security DEBUG日志：

     logging.level.org.springframework.security.web=DEBUG
     

     查看请求进入FilterChainProxy时的方法状态，判断是测试客户端发送时篡改，还是服务器端解析异常。

4. 验证TestRestTemplate的初始化逻辑

   • 确认Maven测试中TestRestTemplateConfiguration配置类是否被正确扫描加载，避免使用默认的TestRestTemplate实例。
   • 在测试类中显式注入自定义RestTemplate，而非依赖自动装配，验证是否解决问题。

5. 检查Authorization Server端点匹配逻辑

   • Spring Authorization Server 1.0.x调整了端点匹配逻辑，确认authorizationEndpointMatcher的定义是否正确，确保/oauth/authorize被匹配到预期的Security FilterChain。
   • 调试SecurityFilterChain的匹配流程，确认Maven测试环境下请求是否进入了正确的过滤器链。

内容的提问来源于stack exchange，提问作者Taliebram