Spring Security OAuth2反向代理场景下重定向URI调试问询

碰到这种反向代理下的OAuth2 redirect URI不匹配问题确实头疼，我来给你几个实用的方法查看authorizationResponse.getRedirectUri()和authorizationRequest.getRedirectUri()的值，顺便也提一下解决根源问题的配置：

方法一：自定义认证失败处理器，打印关键信息 #

你可以写一个自定义的认证失败处理器，在失败时主动提取并打印这两个URI：

@Component
public class CustomOAuth2FailureHandler extends SimpleUrlAuthenticationFailureHandler {

    private static final Logger logger = LoggerFactory.getLogger(CustomOAuth2FailureHandler.class);

    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
        if (exception instanceof OAuth2AuthenticationException) {
            OAuth2AuthenticationException oAuth2Exception = (OAuth2AuthenticationException) exception;
            
            // 从会话中获取发起认证时的authorizationRequest
            OAuth2AuthorizationRequest authorizationRequest = 
                (OAuth2AuthorizationRequest) request.getSession().getAttribute(
                    OAuth2AuthorizationRequestRedirectFilter.AUTHORIZATION_REQUEST_ATTR_NAME
                );
            
            // 从异常附加信息中获取授权响应对象
            Object authResponseObj = oAuth2Exception.getAdditionalInformation().get("authorization_response");
            if (authResponseObj instanceof OAuth2AuthorizationResponse) {
                OAuth2AuthorizationResponse authResponse = (OAuth2AuthorizationResponse) authResponseObj;
                
                logger.error("授权响应中的Redirect URI: {}", authResponse.getRedirectUri());
                if (authorizationRequest != null) {
                    logger.error("授权请求中的Redirect URI: {}", authorizationRequest.getRedirectUri());
                }
            }
        }
        // 调用父类方法继续处理失败逻辑
        super.onAuthenticationFailure(request, response, exception);
    }
}

然后在Security配置里注册这个处理器：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomOAuth2FailureHandler customOAuth2FailureHandler;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .oauth2Login()
                .failureHandler(customOAuth2FailureHandler);
    }
}

这样下次认证失败时，控制台就会清晰输出两个URI的值，帮你定位差异。

方法二：调整日志级别，获取Spring Security的详细输出 #

直接调高原生日志级别，让Spring Security输出更多内部细节：

在application.properties里添加：

# 开启OAuth2客户端核心类的DEBUG日志
logging.level.org.springframework.security.oauth2.client=DEBUG
logging.level.org.springframework.security.oauth2.core=DEBUG

# 针对触发错误的Provider开启TRACE级别，输出最细粒度的处理过程
logging.level.org.springframework.security.oauth2.client.oidc.authentication.OidcAuthorizationCodeAuthenticationProvider=TRACE

开启TRACE级别后，你会在日志里看到redirect URI比对的完整过程，不用写额外代码就能拿到关键信息。

方法三：IDE调试断点直接查看 #

如果你用IDE（比如IntelliJ IDEA或Eclipse）调试，直接在OidcAuthorizationCodeAuthenticationProvider.java的报错行（也就是判断两个URI是否相等的地方）设置断点。当程序走到这里时，你可以在调试窗口直接查看authorizationResponse和authorizationRequest的redirectUri属性值，这是最直观的方式。

顺便解决根源问题：反向代理下的URI识别错误 #

你提到的反向代理导致Spring识别成localhost的问题，可以通过配置让Spring Boot正确解析反向代理的请求头：

在application.properties里添加：

# 告诉应用运行在反向代理之后，优先使用请求头中的真实地址
server.forward-headers-strategy=NATIVE
server.use-forward-headers=true

# 如果你的反向代理设置了X-Forwarded系列头，补充以下配置（根据实际情况调整）
server.tomcat.remote-ip-header=x-forwarded-for
server.tomcat.protocol-header=x-forwarded-proto

这样Spring Security就能正确获取到外部用户访问的真实redirect URI，从根源上解决比对失败的问题。

内容的提问来源于stack exchange，提问作者stacky