Spring OAuth2Client授权码换令牌失败：/callback未执行问题排查

我对Spring配置不熟悉，正在基于授权码流程配置OAuth2 Client，通过外部OpenID Connect身份提供商完成认证。用户首次访问localhost:8080时，通过自定义的OpenIDConnectAuthenticationFilter Bean重定向到身份提供商认证门户，但授权码兑换令牌环节停滞，/callback功能未执行，自定义的attemptAuthentication方法从未触发。

核心排查与修复步骤 #

1. 确认过滤器映射路径匹配 #

自定义过滤器的defaultFilterProcessesUrl必须和身份提供商配置的回调地址（/callback）完全一致。检查Bean定义时传入的路径：

@Bean
public OpenIDConnectAuthenticationFilter openIDConnectAuthenticationFilter() {
    // 此处路径必须与回调地址完全匹配
    return new OpenIDConnectAuthenticationFilter("/callback");
}

如果路径不匹配，过滤器根本不会处理/callback请求。

2. 调整过滤器链顺序 #

自定义的OpenIDConnectAuthenticationFilter必须放在Spring Security过滤器链的正确位置，确保它能优先处理/callback请求。可以通过addFilterAfter指定顺序：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .anyRequest().authenticated()
        .and()
        // 将自定义过滤器放在ExceptionTranslationFilter之后，确保拦截认证回调请求
        .addFilterAfter(openIDConnectAuthenticationFilter(), ExceptionTranslationFilter.class);
}

3. 补全授权码兑换逻辑 #

当前代码跳过了授权码兑换访问令牌的关键步骤，直接调用用户信息接口会因缺少有效令牌被身份提供商拒绝，导致流程中断。修改attemptAuthentication方法，按授权码流程执行：

@Override
public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException, IOException, ServletException {
    // 1. 从请求中获取授权码
    String code = request.getParameter("code");
    if (code == null) {
        throw new BadCredentialsException("未获取到授权码");
    }

    // 2. 向身份提供商令牌端点发送请求，兑换访问令牌
    MultiValueMap<String, String> tokenParams = new LinkedMultiValueMap<>();
    tokenParams.add("grant_type", "authorization_code");
    tokenParams.add("code", code);
    tokenParams.add("client_id", clientId);
    tokenParams.add("client_secret", clientSecret);
    // 此处redirect_uri必须与认证请求、身份提供商配置的地址完全一致
    tokenParams.add("redirect_uri", "http://localhost:8080/callback");

    ResponseEntity<OAuth2AccessToken> tokenResponse = restTemplate.postForEntity(
        "https://身份提供商域名/oauth2/token",
        tokenParams,
        OAuth2AccessToken.class
    );
    OAuth2AccessToken accessToken = tokenResponse.getBody();

    // 3. 用访问令牌调用用户信息接口
    HttpHeaders headers = new HttpHeaders();
    headers.setBearerAuth(accessToken.getValue());
    HttpEntity<Void> userInfoRequest = new HttpEntity<>(headers);

    ResponseEntity<MyUserInfo> userInfoResponse = restTemplate.exchange(
        userinfolink,
        HttpMethod.GET,
        userInfoRequest,
        MyUserInfo.class
    );
    MyUserInfo myUserInfo = userInfoResponse.getBody();

    // 4. 构建认证对象返回
    List<GrantedAuthority> authorities = appAuthorityMapper.mapAuthorities(myUserInfo.getUserGroups());
    return new PreAuthenticatedAuthenticationToken(myUserInfo, null, authorities);
}

4. 校验redirect_uri一致性 #

确保以下三处的redirect_uri完全一致：

• 身份提供商后台配置的回调地址
• 重定向到身份提供商时携带的redirect_uri参数
• 兑换令牌时传入的redirect_uri参数

额外调试建议 #

• 开启Spring Security调试日志，查看过滤器链执行情况，确认/callback请求是否被正确路由：

  logging.level.org.springframework.security=DEBUG
  

• 检查OAuth2RestOperations配置，确保能正常访问身份提供商的HTTPS端点（如需处理证书，需配置信任管理器）
• 核对身份提供商的应用配置：clientId、clientSecret、授权范围（需包含openid、profile等必要权限）是否正确

内容的提问来源于stack exchange，提问作者JPV