Spring Cloud Gateway（Spring Webflux）自定义OAuth2登录页方案咨询

• 权限配置结构不规范：先后两次调用authorizeExchange()，虽然现有规则未冲突，但结构冗余，且未放行OAuth2登录流程必需的回调端点，会导致授权后回调被拦截。
• 未绑定自定义登录页入口：Webflux环境下loginPage()方法需要在oauth2Login()的配置闭包内调用，你当前配置中oauth2Login()无任何自定义参数，使用默认逻辑会直接跳转到授权服务器的登录页，不会触发你自定义的/login路径。
• 未配置未认证请求的跳转逻辑：默认的认证入口优先级高于你自定义的控制器，未认证请求会直接被Spring Security拦截处理，无法命中你写的/login控制器。

1. 修正SecurityWebFilterChain配置 #

@Bean
public SecurityWebFilterChain configure(ServerHttpSecurity http) throws Exception {
    // 定义未认证时的跳转逻辑，跳转到自定义登录页
    RedirectServerAuthenticationEntryPoint entryPoint = new RedirectServerAuthenticationEntryPoint("/login");
    
    return http
            .csrf().disable()
            .authorizeExchange(exchange -> exchange
                    // 放行静态资源、自定义登录页、OAuth2授权端点、回调端点
                    .pathMatchers(HttpMethod.GET,"/oauth2login", "/*.js", "/*.json", "/*.ico", "/login", "/oauth2/authorization/*", "/login/oauth2/code/*")
                    .permitAll()
                    .pathMatchers("/api/**")
                    .authenticated()
                    .anyExchange()
                    .authenticated()
            )
            // 配置未认证请求的处理入口
            .exceptionHandling(exception -> exception
                    .authenticationEntryPoint(entryPoint)
            )
            .oauth2ResourceServer(ServerHttpSecurity.OAuth2ResourceServerSpec::jwt)
            .securityContextRepository(new WebSessionServerSecurityContextRepository())
            // 配置OAuth2登录使用自定义登录页
            .oauth2Login(oauth2 -> oauth2
                    .loginPage("/login")
            )
            .build();
}

2. 实现/login路径控制器 #

根据项目类型实现对应逻辑即可：

• 服务端渲染场景：直接返回自定义登录页的视图名，页面内可添加各个授权源的跳转按钮，跳转地址格式为/oauth2/authorization/{注册的clientId}
• 前后端分离场景：可返回302重定向到前端登录页地址，或者直接返回前端静态登录页资源

3. 验证逻辑 #

启动项目后访问需要认证的接口，会自动重定向到你配置的/login路径，正常命中你写的控制器逻辑。

内容的提问来源于stack exchange，提问作者Vibha Gopal