跨域SSO登录后精准回调URL失效：未跳转至原访问路径

问题基础场景 #

当前系统基于React+SpringBoot技术栈实现SSO单点登录逻辑：业务页面设置SSO登录触发按钮，点击后跳转独立域名SSO认证页，认证通过后应重定向回用户触发登录的原页面。目前链路存在以下场景差异：

• 正常场景1：访问localhost:6000首页，点击登录按钮跳转SSO页，认证成功后可正常重定向回首页
• 异常场景2：访问localhost:6000/ask页面，点击登录按钮跳转SSO页，认证成功后未按预期重定向回localhost:6000/ask，反而跳转至localhost:6000首页
• 正常场景3：访问localhost:6000/ask页面时，用户已持有有效SSO登录态，无需跳转SSO认证页即可完成鉴权，可正确停留在/ask页面

分模块排查与解决方向 #

React前端侧排查点 #

• 核对SSO跳转链接的参数拼接逻辑：点击登录按钮跳转SSO页时，要确认是否动态获取当前页面完整路径（如/ask）作为回跳参数拼接到SSO请求链接中，避免硬编码首页路径作为默认回跳值。重点检查弹窗打开场景下的路由获取逻辑，防止因弹窗上下文的路由取值偏差，误取根路径作为回跳地址。
• 核对SSO认证回跳后的路由跳转逻辑：SSO携带授权码跳回业务系统、完成授权码换登录态的流程中，需优先读取SSO请求里携带的原始回跳地址做路由跳转，避免在登录回调路由中硬编码跳转首页的逻辑。
• 对比路由守卫逻辑：由于已登录状态下的路由跳转（场景3）功能正常，需重点排查未登录触发外部SSO流程下，路由守卫在初始化时的默认跳转规则，防止因未解析到有效回跳参数，自动触发默认重定向到首页的逻辑。

SpringBoot后端侧排查点 #

• 核对SSO回调地址白名单配置：SSO服务端会对回调地址做校验，如果白名单仅配置了根路径http://localhost:6000，未放开带业务路径的回调规则，会导致SSO端收到带/ask路径的回调请求时，自动截断路径部分，强制重定向到白名单匹配的根地址。
• 核对OAuth2流程的state参数透传逻辑：按照OAuth2规范，state参数可存储原始请求路径，要确认跳转SSO时是否将当前访问的/ask路径存入state参数，且SSO认证完成后是否将state参数原封不动透传给业务后端，避免后端拿不到原始路径信息，默认执行首页跳转。
• 核对鉴权拦截器的重定向规则：对比已登录用户的鉴权逻辑（场景3运行正常），要排查未登录触发SSO流程完成后，拦截器在签发会话时，是否正确读取用户触发登录时的原始请求路径做跳转，而非统一固定跳转首页。

快速定位问题的验证方法 #

通过抓包跟踪全链路请求地址，逐段定位参数丢失的节点：

1. 抓取点击登录按钮后，首个跳转至SSO域名的请求，检查回跳参数、state参数是否正确携带/ask路径。如果该步骤参数缺失，为前端跳转链接拼接逻辑问题。
2. 抓取SSO账号密码提交认证后，SSO服务返回的302跳转地址，检查地址中的回跳参数是否仍保留/ask路径。如果该步骤参数丢失，为SSO端回调白名单配置、参数解析逻辑问题。
3. 抓取SSO完成认证后跳转回业务系统的首个请求，检查请求路径是否为目标/ask地址。如果请求路径正确，但进入系统后被重定向到首页，为前端路由守卫、后端鉴权拦截器的跳转逻辑问题。

内容的提问来源于stack exchange，提问作者gopinath