Spring OAuth2授权服务器自定义登录页后无法重定向至回调URL

看起来你遇到的是OAuth2授权流程里，自定义登录页登录后没法正确跳回授权端点（回调流程）的问题。核心原因是自定义登录页的配置没正确保存登录前的原始请求（也就是用户触发的/oauth/authorize请求），导致登录成功后默认重定向回了/login页面。

具体问题点 #

• 缺少登录成功跳转逻辑：你的formLogin()只配置了loginPage，没指定successHandler，Spring Security默认处理逻辑找不回登录前的OAuth2授权请求，所以登录完成后只能回到/login。
• 路径匹配小错误：antMatchers("oauth/authorize")少了开头的斜杠，应该是"/oauth/authorize"，虽然不一定直接导致跳转问题，但会影响权限配置的准确性。
• AuthenticationManager配置冗余：auth.parentAuthenticationManager(authenticationManagerBean())这行多余，会干扰JDBC认证配置的生效，因为你已经要使用自己配置的JDBC用户认证源。

修复步骤 #

1. 修正WebSecurityConfig配置

更新configure(HttpSecurity http)方法，添加successHandler使用SavedRequestAwareAuthenticationSuccessHandler，这个处理器会自动保存并跳回登录前的原始请求（也就是OAuth2的授权请求）：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
            .antMatchers("/login", "/oauth/authorize").permitAll() // 修正路径，添加斜杠
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .loginPage("/login")
            .successHandler(new SavedRequestAwareAuthenticationSuccessHandler()) // 关键：添加这个处理器
            .permitAll()
            .and()
            .csrf().disable(); // 如果登录表单没加CSRF令牌，需要禁用；生产环境建议保留并在表单添加令牌
}

同时，修正AuthenticationManagerBuilder的配置，去掉多余的parentAuthenticationManager：

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.jdbcAuthentication()
            .dataSource(dataSource)
            .usersByUsernameQuery("select mail,password,enabled " +
                    "from users " +
                    "where mail = ?")
            .authoritiesByUsernameQuery("select mail,authority " +
                    "from users " +
                    "where mail = ?")
            .passwordEncoder(passwordEncoder()); // 明确指定密码编码器
}

2. 完善登录表单（可选但建议）

如果保留CSRF防护（默认开启），需要在登录表单里添加CSRF令牌：

<form action="/login" method="POST">
    <!-- 添加CSRF令牌 -->
    <input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>
    
    <div class="column">
        <div class="title">Anmelden</div>
        <div th:if="${param.error}" class="alert alert-error">
            Invalid username and password.
        </div>
        <div th:if="${param.logout}" class="alert alert-success">
            You have been logged out.
        </div>
        <input id="username" name="username" type="email" class="login input" placeholder="E-Mail Adresse"/>
        <input id="password" name="password" type="password" class="login input" placeholder="Passwort"/>
        <br>
        <p style="text-align: center; margin-top: 20px;"><a href="/password-forgotten">Passwort vergessen?</a></p>
        <button style=" margin-top: 20px; margin-bottom: 20px" type="submit" class="button cancel login">Anmelden</button>
    </div>
</form>

3. 确认授权服务配置有效性

你的AuthorizationServerConfig配置整体没问题，确保authenticationManager是正确注入的WebSecurityConfig里暴露的那个实例即可。

修复逻辑说明 #

• SavedRequestAwareAuthenticationSuccessHandler是Spring Security内置的处理器，会自动记录用户登录前访问的受保护资源（这里就是/oauth/authorize端点），登录成功后自动跳转到该资源，继续OAuth2的授权流程。
• 去掉parentAuthenticationManager后，JDBC认证的配置才能正常生效，确保用户信息和权限能被正确加载。

修改完成后，登录成功就会跳回原本的OAuth2授权请求，而不是/login页面了。

内容的提问来源于stack exchange，提问作者Jocasso