Spring Boot集成Azure AD登录报错：scope重复及OAuth2空指针异常

核心原因 #

这个空指针异常说明Azure AD返回的令牌响应中未包含访问令牌，结合invalid_request错误，大概率是请求参数不合法、回调配置错误或证书信任问题导致Azure拒绝发放令牌，或是Spring无法正确解析响应内容。

排查步骤与修复方案 #

1. 检查Azure AD应用注册的重定向URI #

• 登录Azure门户，找到目标应用注册，进入「认证」页面
• 确保重定向URI与Spring Boot配置完全一致，默认路径为https://localhost/login/oauth2/code/azure
• 必须使用HTTPS协议，若服务端口非443需补充端口（如https://localhost:8443/login/oauth2/code/azure）
• 确认重定向URI的类型为「Web」

2. 验证HTTPS证书信任 #

• 若使用自签证书，需将证书导入JVM信任库（cacerts），命令示例：

  keytool -import -alias localhost -file your-cert.crt -keystore $JAVA_HOME/lib/security/cacerts
  

• 或在Spring Boot配置中指定信任库：

  server:
    ssl:
      trust-store: classpath:your-truststore.jks
      trust-store-password: your-password
  

3. 核对application.yaml中的Azure AD配置 #

确保配置项无拼写错误，必填项参考如下：

spring:
  security:
    oauth2:
      client:
        registration:
          azure:
            client-id: <你的客户端ID>
            client-secret: <你的客户端密钥>
            scope: openid,profile,email
            redirect-uri: "{baseUrl}/login/oauth2/code/{registrationId}"
        provider:
          azure:
            issuer-uri: https://login.microsoftonline.com/<你的租户ID>/v2.0

• scope必须包含openid（OIDC核心权限），缺失会导致Azure不返回令牌
• 确认issuer-uri中的租户ID正确，v2.0端点需匹配应用注册的版本

4. 检查Spring Security依赖版本 #

确保Spring Security OAuth2 Starter与Spring Boot版本兼容，例如Spring Boot 3.x对应Spring Security 6.x，依赖配置示例：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>

避免混用不同版本的OAuth2相关依赖

5. 开启调试日志排查 #

添加日志配置，查看完整OAuth2请求/响应细节：

logging:
  level:
    org.springframework.security: DEBUG
    org.springframework.web: DEBUG

日志中会显示Azure返回的具体错误信息（如参数错误、权限不足等），便于定位问题

内容的提问来源于stack exchange，提问作者Sanal S