Spring Security OAuth2多客户端同凭证的SSO与CORS问题咨询

你的思路是否正确？ #

完全正确。在OIDC/SSO架构下，同一用户在授权服务器的信任范围内，登录过一个客户端后，其他共用同一Client ID的客户端应当自动继承认证状态，无需重复触发授权流程。第二个客户端仍发起授权请求，说明前端或后端的认证状态共享逻辑存在配置缺失。

如何用Spring Security OAuth2处理多后端/前端共用Client ID的场景？ #

1. 授权服务器端配置检查 #

• 确认该Client ID对应的重定向URI列表已包含两个前端的完整地址：https://dev.local.com:8082/**和https://dev.local.com:8083/**，且授权服务器允许单个Client ID绑定多个重定向URI。
• 配置授权服务器的CORS规则：必须允许两个前端域名访问/authorize、/token、/userinfo等核心端点，否则会触发你遇到的跨域拦截错误。

2. Java API后端的Spring Security配置 #

两个API后端共用同一Client ID/Secret时，需统一以下配置：

• 统一clientRegistrationId：在OAuth2LoginConfigurer中使用相同的注册ID，指向同一授权服务器的配置。
• 启用会话共享：若两个API部署在同一域名下（不同端口），可通过Spring Session（如Redis存储）实现后端认证会话共享；若为不同域名，则依赖前端的Token存储实现状态同步。
• 添加CORS配置，允许两个前端域名的跨域请求：

  @Bean
  public CorsConfigurationSource corsConfigurationSource() {
      CorsConfiguration config = new CorsConfiguration();
      config.setAllowedOrigins(Arrays.asList("https://dev.local.com:8082", "https://dev.local.com:8083"));
      config.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
      config.setAllowedHeaders(Arrays.asList("Authorization", "Content-Type"));
      config.setAllowCredentials(true);
      
      UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
      source.registerCorsConfiguration("/**", config);
      return source;
  }
  
  @Bean
  public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
      http
          .cors(cors -> cors.configurationSource(corsConfigurationSource()))
          .oauth2Login(withDefaults())
          .authorizeHttpRequests(auth -> auth.anyRequest().authenticated());
      return http.build();
  }
  

3. Angular前端的关键配置 #

• 统一客户端配置：两个Angular客户端使用完全一致的OIDC配置（Client ID、授权服务器端点、scope），开启useSilentRefresh静默刷新模式，避免主动跳转授权端点。
• 共享Token存储：使用localStorage存储ID Token/Access Token（sessionStorage是端口隔离的，无法跨端口共享），第二个客户端初始化时优先从本地存储加载已有Token，无需触发登录流程。
• 初始化时尝试自动登录：调用loadDiscoveryDocumentAndTryLogin()方法，直接复用已有的认证状态。

如何从第二个客户端获取用户信息？ #

1. 前端直接解析ID Token #

如果前端已存储ID Token，可直接解析其中的用户字段（如sub、name、email）：

import { JwtHelperService } from '@auth0/angular-jwt';

const jwtHelper = new JwtHelperService();
const idToken = localStorage.getItem('id_token');
if (idToken && !jwtHelper.isTokenExpired(idToken)) {
  const userInfo = jwtHelper.decodeToken(idToken);
  console.log(userInfo);
}

2. 调用后端用户信息接口 #

Java API后端完成认证后，可暴露接口返回当前用户信息，前端直接调用即可：

@RestController
@RequestMapping("/api/user")
public class UserInfoController {
    @GetMapping("/me")
    public Map<String, Object> getCurrentUser(Authentication authentication) {
        OAuth2AuthenticationToken oauthToken = (OAuth2AuthenticationToken) authentication;
        return oauthToken.getPrincipal().getAttributes();
    }
}

由于已实现认证状态共享，前端调用该接口时无需重新登录。

针对当前CORS错误的临时方案 #

若暂时无法修改授权服务器的CORS配置，可让第二个前端的API请求先转发到自身对应的Java后端，由后端代理请求授权服务器，避免前端直接跨域调用/authorize端点。

内容的提问来源于stack exchange，提问作者raman20