如何在新版Spring Authorization Server配置PKCE授权码流使用自定义前端登录页

功能可行性与配置实现 #

完全可以实现你需要的效果，新版Spring Authorization Server原生支持该场景，不需要修改原有授权流程核心逻辑，配置逻辑如下：

• 首先配置授权码流开启PKCE校验：在客户端注册配置中将requireProofKey属性设置为true，框架会自动完成code_challenge校验、code_verifier校验的全部逻辑，无需二次开发。
• 替换默认登录页：修改Spring Security的表单登录配置，将loginPage参数设置为你自有前端登录页的访问路径，同时放开该路径的访问权限，示例配置片段如下：

http.formLogin(form -> form
    .loginPage("你的前端登录页访问地址")
    .loginProcessingUrl("/login")
    .permitAll()
);

• 前端登录页按照配置的loginProcessingUrl、用户名密码参数名提交登录请求即可，认证成功后框架会自动重定向回授权端点，继续后续的授权码颁发、PKCE校验等原有流程，无需手动处理跳转逻辑。

规范符合性说明 #

该做法完全符合OAuth2、OIDC的标准规范要求：

OAuth 2.0 核心规范仅定义了授权流程的交互报文规则，登录页面属于授权服务器侧的用户身份认证实现细节，规范未对此做强制限制，完全允许使用自定义页面完成用户身份认证。
PKCE是授权码流的安全增强扩展，仅和授权端点、令牌端点的参数校验逻辑相关，和登录页面的实现形式完全解耦，只要框架侧的PKCE校验逻辑正常运行，就不会违反任何规范要求。

内容的提问来源于stack exchange，提问作者Martel