Spring Webflux OAuth2登录流程中authenticationSuccessHandler未触发，自定义JWT返回需求受阻

看起来你遇到的核心问题有两个：一是OAuth2登录成功后自定义的JwtAuthenticationSuccessHandler没被触发，二是用后置过滤器尝试添加JWT头时，头信息不生效。我来帮你一步步拆解问题，找到解决方案。

首先，为什么JwtAuthenticationSuccessHandler永远不被调用？ #

最可能的原因是你添加的authenticationWebFilter（JWT认证过滤器）拦截了OAuth2登录的请求！

你把authenticationWebFilter放在了SecurityWebFiltersOrder.AUTHENTICATION的位置，这个过滤器会在OAuth2 Login的过滤器之前执行（Spring Webflux中SecurityWebFiltersOrder.AUTHENTICATION是第10位，而OAUTH2_LOGIN是第15位）。当用户发起OAuth2登录请求（比如/oauth2/authorization/google或者回调路径）时，JWT过滤器会先检查请求头里的JWT——但此时用户还没登录，自然没有JWT，过滤器会直接返回认证失败（比如401），导致OAuth2 Login的流程根本没机会启动，successHandler当然不会被触发。

解决办法：让JWT过滤器跳过OAuth2登录相关路径 #

你需要修改authenticationWebFilter的配置，让它不对OAuth2登录的路径生效。比如跳过/oauth2/**、/login/**这些路径：

// 假设你是这样创建的JWT认证过滤器
JwtAuthenticationWebFilter jwtAuthFilter = new JwtAuthenticationWebFilter(authenticationManager);
jwtAuthFilter.setServerAuthenticationConverter(new JwtAuthenticationConverter());

// 关键：添加路径匹配规则，跳过OAuth2登录相关请求
ServerWebExchangeMatcher skipPaths = ServerWebExchangeMatchers.pathMatchers("/oauth2/**", "/login/**", "/login/oauth2/code/**");
ServerWebExchangeMatcher requireAuthPaths = ServerWebExchangeMatchers.pathMatchers("/**").matchers(skipPaths.negate());
jwtAuthFilter.setRequiresAuthenticationMatcher(requireAuthPaths);

这样，登录相关的请求会绕过JWT过滤器，OAuth2 Login的流程就能正常执行，登录成功后JwtAuthenticationSuccessHandler就会被触发了。

其次，确保你的JwtAuthenticationSuccessHandler实现正确 #

Webflux是响应式编程模型，你的successHandler必须在Reactive链里处理响应，不能用阻塞的方式操作。这里给你一个标准的实现示例：

@Component
public class JwtAuthenticationSuccessHandler implements ServerAuthenticationSuccessHandler {

    private final JwtTokenGenerator jwtTokenGenerator; // 你自定义的JWT生成工具类
    private final ObjectMapper objectMapper;

    public JwtAuthenticationSuccessHandler(JwtTokenGenerator jwtTokenGenerator, ObjectMapper objectMapper) {
        this.jwtTokenGenerator = jwtTokenGenerator;
        this.objectMapper = objectMapper;
    }

    @Override
    public Mono<Void> onAuthenticationSuccess(WebFilterExchange webFilterExchange, Authentication authentication) {
        ServerWebExchange exchange = webFilterExchange.getExchange();
        ServerHttpResponse response = exchange.getResponse();

        // 1. 从Authentication中提取用户信息，生成自定义JWT
        String jwtToken = jwtTokenGenerator.generateToken(authentication);
        // 2. 将JWT写入响应头
        response.getHeaders().add("Authorization", "Bearer " + jwtToken);

        // 3. 如果需要返回用户信息到响应体（和你之前看到的浏览器响应一致）
        response.getHeaders().setContentType(MediaType.APPLICATION_JSON);
        return response.writeWith(Mono.fromSupplier(() -> {
            try {
                // 假设你用Spring Security的OAuth2User来存储用户信息
                OAuth2User oAuth2User = (OAuth2User) authentication.getPrincipal();
                byte[] userBytes = objectMapper.writeValueAsBytes(oAuth2User.getAttributes());
                return response.bufferFactory().wrap(userBytes);
            } catch (JsonProcessingException e) {
                return response.bufferFactory().wrap(new byte[0]);
            }
        }));
    }
}

这个实现里，所有操作都是在Reactive链中完成的，不会阻塞，也能确保响应头和响应体都正确写入。

最后，检查你的Security配置是否正确 #

确保你的OAuth2Login配置里正确注入了jwtAuthenticationSuccessHandler，同时NoOpServerSecurityContextRepository的使用是符合你无状态的需求的（如果要保持无状态，这个配置是对的，因为我们后续用JWT认证，不需要Session）。

调整后的完整Security配置大致如下：

@Bean
public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http,
                                                        JwtAuthenticationSuccessHandler jwtAuthenticationSuccessHandler,
                                                        JwtAuthenticationWebFilter authenticationWebFilter) {
    return http
            .securityContextRepository(NoOpServerSecurityContextRepository.getInstance()) // 保持无状态
            .authorizeExchange(exchanges -> exchanges
                    .pathMatchers("/oauth2/**", "/login/**").permitAll() // 允许登录相关路径匿名访问
                    .pathMatchers("**/vendor/**").hasRole(Role.VENDOR.name())
                    .pathMatchers("**/customer/**").hasRole(Role.CUSTOMER.name())
                    .anyExchange().authenticated()
            )
            .addFilterAt(authenticationWebFilter, SecurityWebFiltersOrder.AUTHENTICATION)
            .httpBasic(ServerHttpSecurity.HttpBasicSpec::disable)
            .formLogin(ServerHttpSecurity.FormLoginSpec::disable)
            .csrf(ServerHttpSecurity.CsrfSpec::disable)
            .oauth2Login(oauth2 -> oauth2
                    .authenticationSuccessHandler(jwtAuthenticationSuccessHandler)
            )
            .build();
}

注意这里我额外加了pathMatchers("/oauth2/**", "/login/**").permitAll()，确保登录路径允许匿名访问，避免被全局的anyExchange().authenticated()拦截。

为什么之前用后置过滤器时JWT头不出现？ #

你提到用jwtHeaderFilter放在SecurityWebFiltersOrder.AUTHENTICATION之后能触发，但头信息不生效，大概率是因为响应已经被提交了。Webflux的响应是流式的，如果在过滤器处理时，响应体已经被写出（比如OAuth2 Login流程已经把用户信息返回了），此时再添加响应头就会失效——因为响应的状态码和头信息必须在响应体写出之前设置。

所以用Spring Security提供的ServerAuthenticationSuccessHandler是更可靠的方案，因为它是在认证成功、响应还未被写出时触发的，能确保头信息被正确添加。

现在你可以按照这个思路调整代码：先让JWT过滤器跳过登录路径，确保OAuth2流程能触发successHandler，再检查successHandler的响应处理逻辑是否符合Reactive规范，应该就能解决问题了。

内容来源于stack exchange