Spring Boot 1.5.10隐式授权实现遇/login 404问题求助

这个问题我之前在维护旧版本Spring Boot OAuth2项目时也碰到过，核心原因是隐式授权流程需要用户先登录完成授权确认，但你的Spring Security配置没有正确处理/login端点的请求，导致触发登录时找不到对应处理逻辑，返回404。下面是具体的排查和解决步骤：

1. 修正WebSecurity核心配置 #

首先，你的安全配置类（继承WebSecurityConfigurerAdapter）必须明确开启表单登录，并允许匿名访问/login端点。Spring Security 1.5.x不会自动生成登录页面，必须通过配置启用：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                // 允许匿名访问登录页、授权端点和令牌端点
                .antMatchers("/login", "/oauth/authorize", "/oauth/token").permitAll()
                // 其他所有请求必须认证
                .anyRequest().authenticated()
            .and()
                // 开启表单登录，Spring Security会自动处理/login的GET（跳转页面）和POST（提交登录）请求
                .formLogin()
                    .loginPage("/login") // 指定登录请求路径，用默认的/login即可
                    .permitAll() // 允许所有人访问登录页
            .and()
                // 测试环境可临时关闭CSRF，生产环境按需配置
                .csrf().disable();
    }

    // 必须暴露AuthenticationManager的Bean，授权服务器需要依赖它
    @Override
    @Bean
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    // 配置测试用内存用户（生产环境建议改用数据库存储）
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("test-user")
            .password("test-pass")
            .roles("USER");
    }
}

2. 确保授权服务器启用隐式授权类型 #

检查你的授权服务器配置，确认authorizedGrantTypes包含implicit，并且配置了合法的回调地址：

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        // 这里用内存客户端做测试，生产环境建议用JDBC存储客户端信息
        clients.inMemory()
            .withClient("my-client")
            .secret("my-secret")
            // 同时启用密码和隐式授权类型
            .authorizedGrantTypes("password", "implicit")
            .scopes("read", "write")
            // 隐式授权必须配置回调地址，要和请求中的redirect_uri完全一致
            .redirectUris("http://localhost:8080/callback")
            // 设置为false需要用户手动点击授权按钮，true则自动跳过授权确认
            .autoApprove(false);
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.authenticationManager(authenticationManager);
    }

    @Override
    public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
        // 允许所有人访问令牌密钥端点，仅认证用户可访问令牌校验端点
        security.tokenKeyAccess("permitAll()")
            .checkTokenAccess("isAuthenticated()");
    }
}

3. 资源服务器基础配置 #

资源服务器配置相对简单，只需确保拦截并保护需要认证的资源：

@Configuration
@EnableResourceServer
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated();
    }
}

4. 测试隐式授权流程 #

用浏览器访问以下测试URL（替换成你的客户端ID和回调地址）：

http://localhost:8080/oauth/authorize?response_type=token&client_id=my-client&redirect_uri=http://localhost:8080/callback&scope=read

正常流程应该是：跳转到Spring Security自动生成的登录页面 → 输入配置的用户名密码 → 进入授权确认页面 → 点击授权后跳转到回调地址，URL中会携带访问令牌。

额外排查点 #

• 如果你自定义了登录页面，确保表单提交地址是/login，用户名密码参数名默认是username和password（如需自定义，可在formLogin()中用usernameParameter()和passwordParameter()配置）。
• 检查是否有自定义过滤器或拦截器拦截了/login请求，导致无法到达Spring Security的处理逻辑。
• 确认所有配置类都被Spring Boot正确扫描（比如配置类与启动类包层级一致，或通过@ComponentScan指定扫描路径）。

内容的提问来源于stack exchange，提问作者Shadi