Spring Boot集成IBM AppId时OAuth2回调返回401未授权问题咨询

从现有日志的细节可以直接定位到触发401的直接原因：

• 应用发往AppID Token端点的POST请求，是标准的application/x-www-form-urlencoded格式，请求体中仅携带了grant_type、code、redirect_uri三个参数，全程没有携带可识别客户端身份的凭证信息。
• 出现这个问题的本质是Spring Security OAuth2的默认配置和IBM AppID的接口认证要求不匹配：Spring默认使用client_secret_basic模式，会把clientId和clientSecret拼到HTTP Basic Auth请求头里做客户端校验；但IBM AppID的Token端点不支持这种认证方式，要求必须把client_id、client_secret两个参数放到表单请求体中做校验，拿不到有效客户端凭证就会直接返回401且不携带任何响应体。

• 第一处修改：在application.yml的客户端注册配置中，显式指定客户端认证模式，调整后的完整参考配置如下：

  spring:
    security:
      oauth2:
        client:
          registration:
            appid:
              client-id: <<替换为真实的clientId>>
              client-secret: <<替换为真实的clientSecret>>
              # 显式指定客户端凭证通过请求体携带，而非Basic Auth头
              client-authentication-method: post
              authorization-grant-type: authorization_code
              redirect-uri: "{baseUrl}/login/oauth2/code/{registrationId}"
          provider:
            appid:
              issuer-uri: <<替换为真实的issuerUri，注意末尾不要带多余斜杠>>
              # 自动端点推导不准时可显式指定，避免拼接错误
              token-uri: https://au-syd.appid.cloud.ibm.com/oauth/v4/<<替换为真实tenantId>>/token
              authorization-uri: https://au-syd.appid.cloud.ibm.com/oauth/v4/<<替换为真实tenantId>>/authorize
              user-info-uri: https://au-syd.appid.cloud.ibm.com/oauth/v4/<<替换为真实tenantId>>/userinfo
              jwk-set-uri: https://au-syd.appid.cloud.ibm.com/oauth/v4/<<替换为真实tenantId>>/publickeys
  

• 第二处修改：调整SecurityConfiguration中的请求匹配规则，避免循环跳转：
  当前配置中把/login/**接口放到了需要认证的匹配规则里，相当于把登录回调接口本身挡在了认证流程之外，配置生效后会出现反复跳转登录的问题，调整后的参考代码：

  @Configuration
  @EnableWebSecurity
  public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
      @Override
      protected void configure(HttpSecurity http) throws Exception {
          http.authorizeRequests()
                  // 登录、OAuth回调类接口放行，不需要认证
                  .antMatchers("/login/**", "/oauth2/**").permitAll()
                  .anyRequest().authenticated()
                  .and()
                  .oauth2Login();
      }
  }
  

• 第三处修改：核对AppID控制台的配置一致性：
  • 确认控制台中创建的应用类型为常规Web应用，不是单页应用/移动端应用（后两类应用默认开启PKCE流程，和默认的Spring授权码流程不兼容）
  • 确认控制台中登记的允许回调地址，和应用实际使用的回调地址（当前日志中为http://localhost:8080/login/oauth2/code/appid）完全一致，不存在端口、路径、末尾斜杠的差异
  • 确认使用的clientId、clientSecret是从Web应用类型的配置页获取的，不是从移动端/SPA应用的配置页复制的凭证
• 第四处排查：校验授权码的有效性：
  OAuth2的授权码是一次性使用的，如果之前调试过程中同一个授权码已经被消费过，再次用这个code交换token也会触发401。可以清空浏览器本地会话，重新走完整的授权登录流程，拿到全新的授权码后再触发token交换流程。

如果是旧版本的IBM AppID实例，控制台要求使用Basic Auth方式做客户端校验，只需要把配置中的client-authentication-method值改为basic即可，无需调整其他逻辑。

内容的提问来源于stack exchange，提问作者Sudhir