Spring Security将未认证用户重定向到AWS Cognito外部登录页的逻辑如何实现？

重定向逻辑的执行路径 #

你断点未命中的核心原因是：OAuth2AuthorizationRequestRedirectFilter仅处理/oauth2/authorization/{registrationId}路径的显式登录请求，直接访问受保护资源触发的重定向走的是异常处理分支，完整流程如下：

1. 权限校验抛出异常：未认证用户访问受保护资源时，过滤器链末尾的FilterSecurityInterceptor会触发权限校验，不通过则抛出AccessDeniedException
2. 异常捕获分发：异常向上回溯被ExceptionTranslationFilter捕获，识别为未认证异常后，调用OAuth2登录场景对应的OAuth2AuthorizationRequestRedirectEntryPoint的commence方法
3. 构造SSO跳转URL：上述EntryPoint会调用DefaultOAuth2AuthorizationRequestResolver的resolve方法，读取你配置的Cognito客户端、服务商参数，拼接符合OAuth2规范的授权请求地址，包含clientId、scope、redirectUri、state、nonce等必填参数
4. 执行重定向：最终由EntryPoint向响应写入302状态码，将Location头设置为构造好的Cognito登录页地址，完成跳转

旧Jakarta EE应用的适配可行性 #

这套逻辑完全可以在非Spring Boot的Jakarta EE应用中复用：

• 核心逻辑无Spring Boot绑定：授权请求构造、重定向的核心能力封装在spring-security-oauth2-client模块中，不依赖Spring Boot自动配置，可单独引入依赖使用
• 版本兼容规则：如果你的旧应用使用javax.*命名空间（Jakarta EE 8及更早版本），选择Spring Security 5.7.x维护版本即可；如果使用jakarta.*命名空间（Jakarta EE 9及以上版本），可直接使用最新的Spring Security 6.x版本
• 适配成本低：仅需在Jakarta EE应用的过滤器链中注册对应的异常处理组件、配置客户端参数，即可复用整套SSO重定向逻辑，无需全量迁移到Spring生态

内容的提问来源于stack exchange，提问作者tomaytotomato