Spring Boot OAuth2认证服务器中公共客户端使用PKCE+Refresh Token授权类型的令牌刷新失败问题排查

首先，结合你描述的现象（调用token端点时被重定向到登录页，返回看似404的结果）和日志信息，咱们先从最核心的几个排查点入手，大概率是Security配置或请求格式的问题：

1. 首要问题：SecurityFilterChain未正确放行OAuth2 Token端点 #

从你的Security日志能明显看到：请求POST /oauth2/token时，被Spring Security拦截并重定向到了登录页，这说明你的授权服务器的安全规则没有给token端点开“绿灯”——OAuth2的/oauth2/token端点必须允许匿名访问，毕竟公共客户端（无密钥）的刷新请求不需要提前认证。

你需要检查并修正SecurityFilterChain的配置，确保明确放行token端点，同时避免对API请求重定向到登录页：

@Configuration
@EnableWebSecurity
public class AuthorizationServerSecurityConfig {

    @Bean
    public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
        // 先应用OAuth2授权服务器的默认安全配置
        OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);
        
        http
            // 如果你的授权服务器同时作为资源服务器（比如提供用户信息端点），保留这行；否则可以去掉
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()))
            // 关键：放行OAuth2的核心端点，允许匿名访问
            .authorizeHttpRequests(authorize -> authorize
                .requestMatchers("/oauth2/token", "/oauth2/authorize", "/.well-known/openid-configuration")
                .permitAll()
                .anyRequest().authenticated()
            )
            // 修正异常处理：对JSON格式的API请求返回401，而不是重定向到登录页
            .exceptionHandling(exceptions -> exceptions
                .defaultAuthenticationEntryPointFor(
                    new BearerTokenAuthenticationEntryPoint(),
                    new MediaTypeRequestMatcher(MediaType.APPLICATION_JSON)
                )
            );
        
        return http.build();
    }
}

之前的配置应该是没有添加requestMatchers("/oauth2/token").permitAll()这行，导致匿名请求被拦截，触发登录重定向，这也是你看到日志里跳转到/login的原因。

2. 检查Refresh Token请求的格式与参数正确性 #

Spring OAuth2 Token端点只接受application/x-www-form-urlencoded格式的请求体，不支持JSON提交，这也是很多人踩坑的点。你需要确保请求满足：

• 请求方法是POST
• 请求头Content-Type设置为application/x-www-form-urlencoded
• 表单参数包含：
  • grant_type=refresh_token（必须严格匹配）
  • refresh_token=你的实际刷新令牌值（不能是空字符串）
  • client_id=test-client（公共客户端不需要传client_secret）

用curl测试的话，命令应该是这样的：

curl -X POST http://localhost:8080/authentication-service/oauth2/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=refresh_token" \
  -d "refresh_token=eyJhbGciOiJSUzI1NiIsImtpZCI6Ij..." \
  -d "client_id=test-client"

3. 验证RegisteredClient的持久化配置 #

虽然你的客户端配置代码看起来没问题，但还是要确认registeredClientRepository确实正确保存了配置：

• 检查客户端的clientAuthenticationMethod是否为NONE
• 确认authorizationGrantTypes同时包含AUTHORIZATION_CODE和REFRESH_TOKEN
• 确保requireProofKey(true)已经生效（对应PKCE要求）

如果用的是内存存储，重启服务器后配置会重置；如果是JDBC存储，可以直接查数据库表oauth2_registered_client确认配置项。

4. 确认端点路径与Context Path匹配 #

你请求的路径是http://localhost:8080/authentication-service/oauth2/token，要确保你的授权服务器的server.servlet.context-path配置确实是/authentication-service，如果没有配置过context path，正确的端点应该是http://localhost:8080/oauth2/token，路径错误会直接返回404。

总结 #

从你的日志来看，最可能的原因是Security规则拦截了token端点，修正SecurityFilterChain的放行配置后，再用正确的表单格式请求，应该就能解决刷新令牌的问题了。

内容来源于stack exchange