Spring Boot集成Okta OAuth认证后始终重定向到登录页问题

问题排查及解决方法 #

• 检查回调地址配置及权限
  你当前的安全配置仅放开了/oauth_login路径的匿名访问，Spring Security OAuth2 默认的授权回调路径为/login/oauth2/code/{registrationId}（对应Okta的话就是/login/oauth2/code/okta），该路径没有配置permitAll，导致Okta回调请求被安全拦截器拦截，重定向到登录页。
  修正后的安全配置参考：

  @Override
  protected void configure(HttpSecurity http) throws Exception {
      http.authorizeRequests()
              .antMatchers("/oauth_login", "/login/oauth2/code/*")
              .permitAll()
              .anyRequest().authenticated()
              .and()
              .oauth2Login()
              .successHandler(successHandler)
              .loginPage("/oauth_login")
              .clientRegistrationRepository(clientRegRepo)
              .authorizedClientService(clientService)
              .tokenEndpoint()
              .accessTokenResponseClient(tokenClient);
  }
  

  同时确认Okta后台配置的重定向URI和你应用的回调地址完全一致，包含协议、域名、端口、路径，不能有拼写错误。
• 检查Session及Cookie配置
  认证信息默认存储在服务端Session中，关联的SessionID Cookie如果被浏览器拦截会导致回调时无法关联到之前的认证上下文：
  1. 检查Session过期时间是否设置过短，导致回调时Session已经失效
  2. 检查Cookie的SameSite属性，如果是跨站部署需要设置为SameSite.None且开启Secure属性，本地测试可以临时设置为SameSite.Lax避免拦截
• 检查自定义组件逻辑
  你自定义了successHandler和authorizedClientService两个组件，需要确认：
  1. successHandler中是否正确将认证后的Authentication对象存入SecurityContextHolder，且跳转逻辑没有异常
  2. authorizedClientService的实现逻辑是否正确，有没有正常持久化授权客户端和Token信息

内容的提问来源于stack exchange，提问作者wyt