使用自定义登录表单后，OAuth2服务器无法重定向至客户端服务器

我来帮你排查这个问题！看起来你遇到的是自定义登录表单配置后，OAuth2授权流程里的重定向逻辑出了问题——登录成功后没有跳回客户端，反而误打开了某个.js文件的源码。这大概率是因为你在WebSecurityConfiguration里的defaultSuccessUrl("/")配置覆盖了OAuth2的重定向逻辑。

问题原因分析 #

当你配置了自定义登录表单并设置defaultSuccessUrl("/")时，Spring Security会强制在登录成功后跳转到根路径/。如果你的根路径下存在同名的静态资源文件（比如index.js），服务器就会直接返回这个文件的源码，而不是执行OAuth2授权流程中原本应该跳回客户端的逻辑。

而当你不使用自定义登录表单时，Spring Security会自动处理OAuth2的重定向逻辑，优先使用认证请求触发前保存的客户端页面地址，所以能正常跳转。

修复方案 #

你只需要调整WebSecurityConfiguration中的登录成功跳转配置，让它优先使用OAuth2保存的原始请求地址，而不是强制跳转到根路径。有两种方式可以实现：

方式一：使用defaultSuccessUrl的重载方法 #

将defaultSuccessUrl("/")改为defaultSuccessUrl("/", false)，第二个参数设为false表示仅当没有保存的请求地址时才跳转到根路径，如果有OAuth2流程中保存的客户端地址，就会自动跳转到该地址：

@Configuration
public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/login").permitAll()
                .antMatchers("/oauth/token/revokeById/**").permitAll()
                .antMatchers("/tokens/**").permitAll()
                .anyRequest().authenticated()
                .and()
                .formLogin()
                .loginPage("/login")
                .usernameParameter("username")
                .passwordParameter("password")
                .failureUrl("/login?error")
                // 修改这里：第二个参数设为false
                .defaultSuccessUrl("/", false)
                .permitAll()
                .and()
                .csrf().disable();
    }

    @Override
    public void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordencoder());
    }

    @Bean(name = "passwordEncoder")
    public PasswordEncoder passwordencoder() {
        return new CustomPasswordEncoder();
    }
}

方式二：自定义AuthenticationSuccessHandler #

如果需要更灵活的逻辑，可以自定义成功处理器，明确让它使用Spring Security保存的目标请求地址：

@Configuration
public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/login").permitAll()
                .antMatchers("/oauth/token/revokeById/**").permitAll()
                .antMatchers("/tokens/**").permitAll()
                .anyRequest().authenticated()
                .and()
                .formLogin()
                .loginPage("/login")
                .usernameParameter("username")
                .passwordParameter("password")
                .failureUrl("/login?error")
                // 使用自定义成功处理器
                .successHandler((request, response, authentication) -> {
                    SavedRequest savedRequest = new HttpSessionRequestCache().getRequest(request, response);
                    if (savedRequest != null) {
                        // 跳转到OAuth2保存的原始请求地址
                        response.sendRedirect(savedRequest.getRedirectUrl());
                    } else {
                        // 没有保存的地址时跳转到根路径
                        response.sendRedirect("/");
                    }
                })
                .permitAll()
                .and()
                .csrf().disable();
    }

    // 其他方法保持不变...
}

额外注意事项 #

• 确保你的自定义登录表单的提交路径是/login（和formLogin().loginPage("/login")对应），表单中的用户名输入框name为username，密码输入框name为password，和配置中的参数一致。
• 检查客户端的redirectUris配置是否正确（你当前配置的是http://localhost:8082/ui/login），确保这个地址能正常接收授权回调。

内容的提问来源于stack exchange，提问作者AsinghrawatZ