Spring Boot集成Google OAuth2遇所有请求返回401 Unauthorized问题求助

我之前搭建Spring Boot OAuth2登录的时候也踩过类似的坑，给你几个具体的排查和解决方向，应该能帮到你：

1. 先确认依赖是否正确 #

要确保你引入的是当前支持的OAuth2客户端依赖，别用已经废弃的旧依赖。比如在Maven的pom.xml里应该引入：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>

如果是Gradle，对应的依赖是：

implementation 'org.springframework.boot:spring-boot-starter-oauth2-client'

避免使用spring-security-oauth2-autoconfigure这类已经被标记为废弃的依赖，它们会导致配置不兼容。

2. 核对application.yml的配置细节 #

这是最容易出错的地方，一定要确保配置项完全正确：

• 配置节点必须是spring.security.oauth2.client.registration.google，别残留之前FB配置的节点或者写错厂商名称
• redirect-uri必须和Google开发者控制台的配置完全一致，格式应该是{baseUrl}/login/oauth2/code/google，本地开发就是http://localhost:8080/login/oauth2/code/google
• 必须包含必要的scope，至少要openid, email, profile，否则Google不会返回用户信息
• 示例正确配置：

spring:
  security:
    oauth2:
      client:
        registration:
          google:
            client-id: 你的Google客户端ID
            client-secret: 你的Google客户端密钥
            scope: openid, email, profile
            redirect-uri: "{baseUrl}/login/oauth2/code/google"
        provider:
          google:
            authorization-uri: https://accounts.google.com/o/oauth2/v2/auth
            token-uri: https://oauth2.googleapis.com/token
            user-info-uri: https://www.googleapis.com/oauth2/v3/userinfo
            user-name-attribute: sub

3. 检查SecurityFilterChain配置是否生效 #

你需要显式配置Spring Security的过滤链，启用OAuth2登录，否则Spring可能会 fallback到默认的表单登录（就是你看到的/login页面）。写一个配置类：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            // 所有请求都需要认证
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            // 启用OAuth2登录，默认的登录页就是/login，会自动跳转Google认证
            .oauth2Login(Customizer.withDefaults());
        return http.build();
    }
}

如果有自定义的逻辑，也可以在oauth2Login()里配置回调处理器，但默认配置已经能满足基础需求。

4. 核对Google开发者控制台的配置细节 #

• 确保你的OAuth客户端ID是Web应用类型，不是桌面应用或其他类型
• 重定向URI必须精确包含http://localhost:8080/login/oauth2/code/google（端口要和你的应用一致），不能只填http://localhost:8080
• 确认client-id和client-secret没有复制错误，比如多了空格或者漏了字符

5. 开启日志排查细节 #

如果上面的步骤都没问题，开启Spring Security的DEBUG日志，看看认证流程里的具体错误：

logging:
  level:
    org.springframework.security: DEBUG

查看控制台输出，你能看到请求到Google的过程、回调时的参数、认证失败的具体原因，比如是不是Google返回了错误码，或者回调路径不匹配。

6. 排查配置冲突 #

检查项目里有没有多个@EnableWebSecurity的配置类，或者其他自定义的过滤器、拦截器影响了OAuth2的认证流程，确保只有一个生效的Security配置。

内容的提问来源于stack exchange，提问作者banncee