多应用统一OAuth登录SSO：认证后回跳对应源应用

Q1：是否可通过简单重定向逻辑实现上述需求？ #

纯靠无状态的简单重定向不可能实现完整符合要求的SSO体系。
纯重定向最多只能做到「未登录时统一跳到公共登录页」这一个表层效果，核心的跨应用登录态共享、单点登出、安全回跳根本没法覆盖，硬上会有三个绕不开的问题：

• 跨域场景下不同应用没法共享登录凭证，用户跳去第二个应用还是要重新登录，做不到一次登录全端生效
• 没有统一的会话校验逻辑，纯靠URL参数传登录态非常容易被伪造，安全风险极高
• 没有全局会话中心的话，根本没法实现单点登出——你没法在用户点登出时通知所有已经登录过的应用销毁本地会话，会出现退了A应用B应用还登着的情况

如果只是临时做演示，你可以在每个应用的拦截器里给未登录请求加302跳转到公共登录页，URL里拼上当前来源地址参数，登录完成后按参数跳回，但这本质上不是SSO，每个应用还是要单独存用户会话，也没有跨应用状态同步，生产环境别这么用。

Q2：基于Spring生态原生组件的生产级SSO搭建流程 #

不用强依赖Keycloak这类外部组件，也别用已经废弃的@EnableAuthorizationServer注解（属于已停止维护的Spring Security OAuth老项目），直接用Spring官方正式维护的Spring Authorization Server（Spring Security官方子项目，和Spring Boot完全原生适配）搭建统一认证中心即可，基于标准OAuth2/OIDC授权码模式实现，完全匹配你的需求。

整体架构 #

• 1个独立部署的统一认证服务：承载公共登录页，对接Google、Facebook第三方OAuth登录，同时支持账号密码登录，负责全局会话管理、令牌签发、单点登出通知
• 所有业务应用的Spring Boot后端：作为OAuth2 Client接入统一认证中心，无需自行实现登录、第三方对接逻辑
• 所有React前端：仅负责处理未登录跳转、本地会话状态同步，无需对接任何认证逻辑

具体实现步骤 #

1. 搭建统一认证中心
   • 新建Spring Boot应用，引入spring-boot-starter-oauth2-authorization-server、spring-boot-starter-oauth2-client、spring-boot-starter-security三个官方依赖
   • 为每个业务应用分配独立的clientId和clientSecret，将每个业务应用的OAuth回调地址加入重定向白名单，防止开放重定向漏洞
   • 自定义公共登录页：将Google、Facebook第三方登录入口、账号密码登录表单统一放在这个页面，第三方登录直接用Spring Security OAuth2 Client的标准配置对接即可，无需自行写HTTP调用逻辑
   • 配置全局会话：认证中心在自身域名下存储全局会话Cookie，用户在认证中心登录后，后续其他应用发起认证请求时会自动识别已登录状态，无需重复输入凭证
   • 开启OIDC单点登出能力：认证中心维护所有已登录客户端的会话列表，用户触发登出时，会逐个通知所有业务应用销毁本地会话
2. 改造业务应用Spring Boot后端
   • 每个业务后端引入spring-boot-starter-oauth2-client依赖，无需自行编写登录、认证拦截逻辑
   • 配置OAuth2客户端参数：将统一认证中心地址作为令牌发行者（issuer），填入对应分配的clientId、clientSecret，配置拦截规则：未认证的请求自动触发OAuth2授权码流程，跳转到认证中心登录页。这个流程原生支持自动携带发起登录的业务应用回调地址，认证完成后自动跳回来源页，完全不需要自己写重定向传参逻辑
   • 业务应用本地仅维护自身的短期业务会话，无需存储用户凭证、无需对接第三方登录
3. 改造React前端
   • 前端无需存储用户密码、无需对接任何第三方登录，仅需要全局拦截接口响应：如果收到401状态码，直接跳转至当前后端的认证触发入口即可，后续的认证、跳转流程全由后端和认证中心处理
   • 登出操作直接跳转至统一认证中心的登出接口即可，无需逐个调用其他应用的登出逻辑

注意事项 #

• 所有流程统一使用授权码模式+PKCE，不要用已被淘汰的隐式授权模式，即使前端是公共客户端也能保证安全
• 如果各业务应用属于不同根域名，不需要强行配置跨域共享Cookie，认证中心的全局会话Cookie存在认证中心自身域名下即可，走标准OIDC的跨域会话校验逻辑就能实现单点登录
• 所有允许回跳的地址必须在认证中心配置白名单，禁止直接读取前端传入的任意URL作为回跳地址

内容的提问来源于stack exchange，提问作者MsA