Spring Boot OAuth2如何配置同一URL支持password与authorization_code授权类型？

当然可以实现同一URL兼容两种OAuth2授权类型！你当前遇到的「携带Bearer令牌仍被重定向到UAA登录页」的问题，核心原因是只配置了OAuth2客户端的基础属性，但没有在Spring Security规则中同时启用资源服务器的令牌验证逻辑，导致框架优先触发authorization_code的表单授权流程，而忽略了Bearer令牌的验证。

核心思路 #

要同时支持两种授权类型，需要让Spring Security同时处理两种场景：

• 对于携带有效Authorization: Bearer <token>的请求（对应password模式获取的令牌）：作为资源服务器验证令牌有效性，直接放行。
• 对于未携带令牌或令牌无效的请求（比如浏览器访问）：作为OAuth2客户端触发authorization_code授权流程，重定向到UAA授权页。

具体配置步骤 #

1. 调整Spring Security配置类 #

创建或修改你的Security配置类，同时启用oauth2ResourceServer和oauth2Client，并配置对应的规则：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            // 1. 配置资源服务器：识别并验证Bearer令牌
            .oauth2ResourceServer(oauth2 -> oauth2
                // 如果你的UAA返回JWT令牌，配置JWKS端点用于解析验证
                .jwt(jwt -> jwt.jwkSetUri("http://UAA/oauth/jwks"))
                // 如果是不透明令牌（Opaque Token），则用userInfo端点验证
                // .userInfoEndpoint(userInfo -> userInfo.userAuthoritiesMapper(this::convertAuthorities))
            )
            // 2. 配置OAuth2客户端：支持authorization_code授权流程
            .oauth2Client(withDefaults())
            // 3. 配置URL授权规则：保护/boot端点
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/boot").authenticated()
                .anyRequest().permitAll()
            )
            // 4. 优化异常处理：API请求（如Postman）无令牌时返回401，而非302重定向
            .exceptionHandling(ex -> ex
                .authenticationEntryPoint(new BearerTokenAuthenticationEntryPoint())
                .accessDeniedHandler(new BearerTokenAccessDeniedHandler())
            );
        
        return http.build();
    }

    // 可选：自定义权限映射（从UAA返回的用户信息中提取权限）
    private Collection<? extends GrantedAuthority> convertAuthorities(OAuth2User oauth2User) {
        return oauth2User.getAuthorities().stream()
            .map(auth -> new SimpleGrantedAuthority(auth.getAuthority()))
            .collect(Collectors.toList());
    }
}

2. 更新application.yml配置 #

保留你原有的客户端配置，同时补充资源服务器的相关配置，并确保客户端在UAA上已注册password和authorization_code两种授权类型：

security:
  oauth2:
    client:
      accessTokenUri: http://UAA/oauth/token
      userAuthorizationUri: http://UAA/oauth/authorize
      clientId: your-client-id
      clientSecret: your-client-secret
      # 明确指定客户端支持的授权类型
      authorized-grant-types: authorization_code, password, refresh_token
    resource:
      # 对应JWT令牌的JWKS端点（如果用不透明令牌则注释，保留userInfoUri）
      jwk-set-uri: http://UAA/oauth/jwks
      # userInfoUri: http://UAA/userinfo

关键说明 #

• UAA端配置：必须确保你的客户端在UAA服务器上已经开启了password和authorization_code两种授权类型，否则请求会被UAA拒绝。
• password模式使用：可以直接通过Postman调用UAA的/oauth/token端点，携带参数grant_type=password、username、password、client_id、client_secret获取令牌，然后用该令牌作为Bearer头访问/boot，此时资源服务器会直接验证令牌并放行。
• authorization_code模式使用：当浏览器访问/boot时，因为没有携带令牌，会被重定向到UAA的授权登录页，用户完成授权后，客户端会自动获取令牌并访问/boot。
• Postman重定向问题解决：通过配置BearerTokenAuthenticationEntryPoint，当API请求（通常Accept为application/json）没有有效令牌时，会返回401 Unauthorized而非302重定向，完美解决你遇到的问题。

内容的提问来源于stack exchange，提问作者11thdimension