Spring Boot OAuth2：无法重定向至Spring Security登录页且认证报错

我来帮你一步步排查这个OAuth2的重定向和认证问题，结合你描述的场景（客户端跑在8082端口、授权服务端在8081），咱们从客户端到服务端逐一梳理可能的问题点：

一、先检查客户端（8082）的Spring Security配置 #

首先得确保你的客户端Security配置拦截了/ui/**路径，并且正确配置了OAuth2客户端信息，这样访问该路径时才会触发重定向到授权服务器的逻辑。

举个典型的配置例子：

@Configuration
public class ClientSecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/ui/**").authenticated() // 核心：要求/ui路径必须认证
                .anyRequest().permitAll()
            )
            .oauth2Login(oauth2 -> oauth2
                // 让Spring自动处理OAuth2登录的重定向逻辑，不用手动指定/login
                .authorizationEndpoint(endpoint -> endpoint
                    .baseUri("/oauth2/authorization")
                )
            );
        return http.build();
    }
}

同时，客户端的application.yml（或properties）里的OAuth2客户端配置必须和服务端匹配：

spring:
  security:
    oauth2:
      client:
        registration:
          my-oauth-client: # 自定义的客户端标识
            client-id: your-client-id # 必须和服务端注册的一致
            client-secret: your-client-secret # 同上
            authorization-grant-type: authorization_code # 授权码模式，符合你的场景
            redirect-uri: "http://localhost:8082/login/oauth2/code/my-oauth-client" # 必须和服务端配置的回调地址一致
            scope: openid, profile, email # 申请的权限范围
        provider:
          my-oauth-client:
            authorization-uri: http://localhost:8081/auth/oauth/authorize # 服务端的授权端点
            token-uri: http://localhost:8081/auth/oauth/token # 令牌端点
            user-info-uri: http://localhost:8081/auth/oauth/userinfo # 用户信息端点
            user-name-attribute: name # 从用户信息里取哪个字段作为用户名

这里要重点注意redirect-uri，如果和服务端注册的不匹配，后续肯定会出问题。

二、检查授权服务端（8081）的配置 #

1. 确保登录端点允许匿名访问 #

你提到访问http://localhost:8081/auth/login返回unauthorized，这说明服务端的登录页面没有对未认证用户开放——毕竟登录页就是给未认证用户用的啊！

所以服务端的Security配置必须开放/auth/login和授权端点：

@Configuration
public class ServerSecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/auth/login", "/auth/oauth/authorize").permitAll() // 开放登录和授权页面
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/auth/login") // 如果用自定义登录页就指定，默认的话可以省略
                .permitAll()
            );
        return http.build();
    }
}

2. 确认服务端的客户端注册信息 #

服务端必须正确注册了你的客户端，所有参数要和客户端配置完全一致。比如用内存存储客户端信息的话：

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
            .withClient("your-client-id") // 和客户端的client-id一致
            .secret("{noop}your-client-secret") // 注意密码编码器：如果是测试用明文，要加{noop}前缀；生产环境用BCrypt等加密
            .authorizedGrantTypes("authorization_code") // 授权码模式
            .scopes("openid", "profile", "email") // 和客户端申请的范围一致
            .redirectUris("http://localhost:8082/login/oauth2/code/my-oauth-client") // 回调地址必须匹配
            .autoApprove(false); // 是否自动授权，测试可以设为true，生产建议false
    }

    // 别忘了配置token存储、认证管理器等其他必要组件...
}

三、纠正重定向逻辑的理解误区 #

你提到“内部重定向至http://localhost:8081/auth/login”，其实OAuth2授权码流程的正确逻辑是：

1. 客户端访问/ui/**，因为需要认证，客户端会重定向到服务端的授权端点（/auth/oauth/authorize）
2. 授权端点发现用户未认证，才会跳转到服务端的/auth/login页面让用户登录
3. 用户登录成功后，授权端点会回调客户端的redirect-uri，携带授权码
4. 客户端用授权码换取令牌，完成认证

所以如果客户端直接跳/auth/login，说明流程走偏了——大概率是客户端的Security配置没正确触发OAuth2的授权重定向，而是触发了默认的表单登录重定向。

四、额外排查：跨域与日志 #

• 跨域：虽然都是localhost，但端口不同，如果服务端的CORS配置限制了8082，可能影响后续令牌请求，可以给服务端加个CORS过滤器：

@Bean
public CorsFilter corsFilter() {
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    CorsConfiguration config = new CorsConfiguration();
    config.setAllowCredentials(true);
    config.addAllowedOrigin("http://localhost:8082");
    config.addAllowedHeader("*");
    config.addAllowedMethod("*");
    source.registerCorsConfiguration("/**", config);
    return new CorsFilter(source);
}

• 日志调试：开启Spring Security的DEBUG日志，能帮你看清整个认证流程的细节，比如客户端是否拦截了路径、重定向URL是否正确、服务端为什么返回unauthorized。在application.yml里加：

logging:
  level:
    org.springframework.security: DEBUG

按照上面的步骤逐一排查，应该能解决你的问题。

内容的提问来源于stack exchange，提问作者Mohit Darmwal