Postman请求Spring OAuth2应用返回GitHub登录页如何解决

你当前引入的是spring-boot-starter-oauth2-client依赖，这套组件的设计逻辑是让你的应用作为OAuth2客户端运行：所有未携带有效登录凭证的请求，都会被302重定向到GitHub授权页，登录状态通过服务端会话绑定的JSESSIONID Cookie维持，组件本身不会解析、校验请求头里携带的Bearer Token。
你自行向GitHub申请的访问令牌，作用是调用GitHub自身的开放API，并非供你的应用做身份校验使用，因此把这类令牌放到请求头里访问本地服务，一定会被拦截跳转登录页。浏览器访问流程中看不到Authorization请求头属于正常现象：整个OAuth2授权流程里，令牌只在你的后端服务和GitHub之间通信传递，前端和你的服务交互全程靠JSESSIONID关联登录会话，不需要携带令牌。

根据你实际的业务场景二选一即可：

场景1：需要实现浏览器端跳转GitHub登录的交互逻辑 #

这套场景基于会话认证，不需要手动传递Bearer Token：

• 用Postman测试时不要手动在Authorization头里塞Token，打开Postman的自动跟随重定向开关，走完OAuth2授权码流程后，Postman会自动持有登录成功返回的JSESSIONID Cookie，后续请求携带该Cookie即可正常访问接口
• 如果你需要自定义接口的访问规则，新增Security配置类调整拦截规则即可，默认配置已经能跑通基础登录流程。

场景2：需要支持接口通过Bearer Token认证，令牌由GitHub颁发 #

这套场景需要把你的应用改造为OAuth2资源服务器，而非OAuth2客户端：

1. 替换pom/gradle中的依赖，移除spring-boot-starter-oauth2-client，引入spring-boot-starter-oauth2-resource-server
2. 修改application.yml配置，移除原有client相关配置，添加资源服务器令牌校验配置，指定GitHub的JWT校验地址或令牌introspection地址
3. 新增Spring Security配置类开启资源服务器认证，示例代码如下：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
                .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()))
                .cors(Customizer.withDefaults());
        return http.build();
    }
}

4. 配置完成后，请求头携带Authorization: Bearer <GitHub颁发的有效令牌>即可正常访问接口，不会再触发GitHub登录页跳转。

如果你的业务同时需要支持浏览器会话登录、Bearer Token接口访问两种模式，可以在Security配置中同时开启OAuth2 Client和OAuth2 Resource Server的认证机制，按请求路径、请求头特征匹配对应的认证规则即可。

内容的提问来源于stack exchange，提问作者eternal