基于Spring Authorization Server按规则实现授权请求联邦的方案咨询

实现基础说明 #

Spring Authorization Server 原生支持基于OIDC协议的身份提供商联邦能力，你可以基于框架提供的扩展点直接实现自定义的IDP路由规则，不需要额外引入依赖。

核心实现切入点 #

1. 授权请求前置拦截扩展 #

如果你需要根据请求参数、client_id提前判断路由规则，可以自定义授权请求转换器，在/oauth2/authorize请求解析阶段完成IDP匹配：

• 扩展OAuth2AuthorizationCodeRequestAuthenticationConverter，提取请求中的idp查询参数、client_id字段，匹配预设的路由规则
• 将自定义转换器注册到授权端点配置中，示例配置如下：

@Bean
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
    OAuth2AuthorizationServerConfigurer authServerConfig =
        OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);
    // 自定义授权请求处理逻辑
    authServerConfig.authorizationEndpoint(endpoint ->
        endpoint.authorizationRequestConverter(new CustomIdpRouteConverter())
    );
    // 注册第三方IDP为OAuth2客户端
    http.oauth2Login(Customizer.withDefaults());
    // 其余安全配置省略
    return http.build();
}

如果规则匹配到需要跳转的目标IDP，直接返回对应IDP的认证重定向响应即可，不需要进入本地用户名输入页。

2. 用户名提交后路由扩展 #

如果你需要用户输入邮箱/用户名后再匹配IDP，可在本地登录页的表单提交处理逻辑中实现规则判断：

• 解析用户输入的用户名，提取邮箱域名，匹配预设的域名-IDP映射表，或者查询用户元数据获取关联的IDP
• 匹配到目标IDP后，通过Spring Security的OAuth2AuthorizationRequestRedirectFilter触发对应IDP的认证流程跳转即可

3. 联邦认证结果处理扩展 #

第三方IDP认证完成后，需要适配返回的用户信息生成本地认证凭证：

• 自定义OidcUserService，处理第三方IDP返回的OIDC用户信息，转换为Spring Authorization Server可识别的用户身份对象
• 如果需要本地映射用户体系，可在该扩展点完成用户信息的同步或关联逻辑

规则适配说明 #

• IDP hint查询参数规则：在授权请求转换器中直接提取idp参数值，和已注册的第三方IDP的registrationId匹配即可
• client_id规则：给每个注册的OAuth2客户端增加扩展属性，配置允许的IDP列表或默认IDP，请求时根据client_id查询对应配置做路由
• 邮箱域名规则：维护域名与IDP的映射关系，用户提交用户名后解析域名匹配目标IDP

内容的提问来源于stack exchange，提问作者Keith Buel