启用HTTPS的负载均衡器场景下OAuth2回调失败如何正确配置？

根因说明 #

这是反向代理SSL卸载场景下的典型协议 mismatch问题：负载均衡完成SSL终结后，和后端OAuth2服务之间走HTTP通信，OAuth2服务默认会基于自身接收到的请求协议生成重定向地址、校验回调地址合法性，和你配置的HTTPS回调地址不匹配，直接触发校验失败。

修复步骤 #

1. 负载均衡配置转发原始请求头 #

确保你的负载均衡开启X-Forwarded-*系列头的传递，把用户真实访问的协议、端口、IP传递给后端服务：

• 必传头：X-Forwarded-Proto，值为用户实际访问的协议，HTTPS场景下值固定为https
• 建议传头：X-Forwarded-Port（用户实际访问的端口，HTTPS默认443）、X-Forwarded-For（用户真实IP）
  Nginx负载均衡配置示例：

proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Forwarded-Port $server_port;
proxy_set_header X-Forwarded-For $remote_addr;

2. OAuth2服务端配置信任转发头 #

需要修改OAuth2服务的配置，让其优先使用X-Forwarded-*头的信息，而不是本地的请求协议/端口来处理OAuth2逻辑：

• Spring Security OAuth2（Spring Boot环境）：配置文件添加两项配置

  server.forward-headers-strategy=native
  server.tomcat.remoteip.trusted-proxies=你的负载均衡IP段
  

• Node.js Express + passport-oauth2：添加代理信任配置

  app.set('trust proxy', 1) // 1表示信任第一层代理，也可以填具体的负载均衡IP
  

• 其他框架：查找对应框架的「反向代理 转发头 信任」相关配置项开启即可。

3. 校验回调地址白名单 #

确认OAuth2客户端注册的回调地址、服务端允许的回调地址列表，全部为HTTPS开头的完整地址，移除遗留的HTTP回调地址配置。

验证 #

配置完成后可以先在后端应用层打印接收到的请求协议，确认能正确识别到https值，再走完整的OAuth2授权流程即可。

内容的提问来源于stack exchange，提问作者Timothy Vogel