Spring OAuth2客户端授权码流程无法重定向至原始URL问题咨询

兄弟，我看你这OAuth2授权码流程卡在最后回到原始资源这一步了，这种情况我碰到过好几次，大概率是这几个地方没配置对，给你捋捋：

1. 回调地址未关联原始请求追踪 #

授权码流程里，客户端得记住用户最初访问的资源路径，兑换完令牌后才能跳转回去。如果你的OAuth2ClientContext没正确保存原始请求，或者没开启state参数追踪，就会丢了跳转目标。

调整建议： #

配置AuthorizationCodeAccessTokenProvider并开启statePreserved，让它通过state参数追踪原始请求：

@Bean
public OAuth2RestOperations restOperations(OAuth2ClientDetailsService clientDetails) {
    DefaultOAuth2ClientContext clientContext = new DefaultOAuth2ClientContext();
    AuthorizationCodeAccessTokenProvider accessTokenProvider = new AuthorizationCodeAccessTokenProvider();
    accessTokenProvider.setStatePreserved(true); // 核心：保留state参数用于追踪原始请求
    OAuth2RestTemplate restTemplate = new OAuth2RestTemplate(clientDetails.loadClientByClientId("your-client-id"), clientContext);
    restTemplate.setAccessTokenProvider(accessTokenProvider);
    return restTemplate;
}

2. 回调端点权限未放行 #

你的OAuth2回调端点（比如默认的/login/oauth2/code/[client-id]）如果被拦截，兑换令牌的流程会中断，自然没法跳转回原始资源。

调整建议： #

在configure(HttpSecurity http)里放行相关路径：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/login/**", "/oauth2/**") // 放行登录、OAuth2回调路径
            .permitAll()
            .anyRequest()
            .authenticated()
        .and()
        .oauth2Login() // Spring Security 5+推荐用这个替代旧的@EnableOAuth2Client
            .redirectionEndpoint()
                .baseUri("/login/oauth2/code/**"); // 确保回调端点匹配
}

3. OAuth2ClientContext会话作用域配置缺失 #

如果oauth2ClientContext不是会话作用域的，原始请求信息会丢失，导致没法跳转回去。

调整建议： #

显式声明会话作用域的OAuth2ClientContext：

@Bean
@Scope(value = "session", proxyMode = ScopedProxyMode.TARGET_CLASS)
public OAuth2ClientContext oauth2ClientContext() {
    return new DefaultOAuth2ClientContext();
}

4. 配置文件中redirect-uri未正确设置 #

你的application.properties/application.yml里的回调地址必须和授权服务器上注册的一致，而且要正确占位：

spring.security.oauth2.client.registration.your-client-id.redirect-uri={baseUrl}/login/oauth2/code/your-client-id

另外，看你用的是@EnableOAuth2Client+WebSecurityConfigurerAdapter，这是比较旧的用法，Spring Security 5.2+更推荐用@EnableOAuth2Login，它会自动处理很多回调和请求跳转的逻辑，减少出错概率。

你可以先调试下oauth2ClientContext.getSavedRequest()，看看有没有保存原始请求的信息，如果没有，就优先检查上面的statePreserved和会话作用域配置。

内容的提问来源于stack exchange，提问作者alex.b