如何配置Spring Boot的OAuth2 WebClient且不拦截自身端点请求？

不需要大量手动配置，只需调整Spring Security的响应式安全规则，就能让自身API跳过认证，同时保留WebClient的OAuth2配置用于服务间调用。

问题根源 #

当Spring Boot检测到OAuth2 Client配置时，会自动启用全局安全拦截，默认要求所有请求都需认证，这就是访问自身控制器时被重定向到/login的原因。

解决方案 #

创建自定义响应式安全配置类，明确放开自身API的访问权限：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.reactive.EnableWebFluxSecurity;
import org.springframework.security.config.web.server.ServerHttpSecurity;
import org.springframework.security.web.server.SecurityWebFilterChain;

@Configuration
@EnableWebFluxSecurity
public class ReactiveSecurityConfig {

    @Bean
    public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
        http
            .authorizeExchange(exchanges -> exchanges
                // 替换为你自身API的实际路径，允许未授权访问
                .pathMatchers("/api/**", "/internal/**").permitAll()
                // 其他路径根据需求配置，不需要认证就用permitAll
                .anyExchange().permitAll()
            )
            // 禁用默认的登录重定向和HTTP Basic认证
            .formLogin().disable()
            .httpBasic().disable();
        
        return http.build();
    }
}

说明 #

• 你的WebClient配置无需改动，它依然会在调用my-private-api时自动获取并携带Client Credentials模式的OAuth2令牌，仅作用于服务间调用。
• 调整pathMatchers里的路径，匹配你实际对外暴露的自身API接口，确保这些路径不会被安全拦截。
• 如果有部分自身API需要认证，可以单独添加规则（比如.pathMatchers("/api/private/**").authenticated()），但根据你的需求，大部分路径设置为permitAll即可。

内容的提问来源于stack exchange，提问作者Chris Cooper