Spring Boot无状态表单登录：STATELESS配置后/oauth/authorize重定向失效

这个问题我之前也碰到过，核心原因就是STATELESS模式下Spring Security不会创建或使用会话，而默认的登录成功重定向逻辑依赖会话来存储之前的请求地址（也就是你提到的/oauth/authorize），所以一旦禁用会话，这个跳转目标就丢失了。下面给你两个可行的解决方案：

方案一：通过请求参数传递重定向目标 #

既然会话没法用了，我们可以把需要跳转的地址通过请求参数传递，登录成功后读取这个参数完成重定向：

1. 修改Spring Security配置 #

自定义登录成功处理器，从请求参数中获取重定向地址：

@Configuration
public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // @formatter:off
        http.csrf().disable()
            .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
            .authorizeRequests().anyRequest().authenticated()
            .and()
            .formLogin()
                .loginPage("/login").permitAll()
                .successHandler((request, response, authentication) -> {
                    // 获取重定向参数
                    String redirectUri = request.getParameter("redirect_uri");
                    if (redirectUri != null && !redirectUri.isEmpty()) {
                        // 关键：校验重定向地址的合法性，防止开放重定向攻击
                        if (isValidRedirectUri(redirectUri)) {
                            response.sendRedirect(redirectUri);
                            return;
                        }
                    }
                    // 默认跳转地址
                    response.sendRedirect("/");
                });
        // @formatter:on
    }

    // 自定义校验逻辑，只允许跳转至信任的域名/路径
    private boolean isValidRedirectUri(String redirectUri) {
        // 示例：只允许本域名下的地址
        return redirectUri.startsWith("http://your-domain.com/") || 
               redirectUri.startsWith("/");
    }
}

2. 修改登录页面 #

在登录表单中添加隐藏字段，把跳转参数传递到POST请求中：

<form action="/login" method="post">
    <!-- 用户名、密码输入框 -->
    <input type="text" name="username" />
    <input type="password" name="password" />
    <!-- 隐藏字段传递重定向地址 -->
    <input type="hidden" name="redirect_uri" value="${param.redirect_uri}" />
    <button type="submit">登录</button>
</form>

当用户访问需要授权的页面（比如/oauth/authorize）时，Spring Security会自动跳转到/login?redirect_uri=/oauth/authorize，登录成功后就会根据这个参数跳回目标页面。

方案二：针对OAuth2场景的优化（如果你是OAuth2授权服务器） #

如果你的场景是OAuth2授权码流程，其实可以复用OAuth2本身的redirect_uri参数。Spring Security OAuth2的授权端点会自动处理这个参数，你只需要确保登录流程中保留这个参数即可，核心逻辑和方案一一致，只是参数名固定为redirect_uri，并且可以借助OAuth2的校验机制来验证地址合法性。

关键注意事项 #

• 必须校验重定向地址：开放重定向是常见的安全漏洞，一定要确保跳转地址属于你的信任域名，避免被攻击者利用跳转至恶意网站。
• STATELESS模式下，所有身份信息都需要通过请求头（比如JWT）传递，登录成功后要确保后续请求能携带身份凭证，否则每次请求都会被拦截到登录页。

内容的提问来源于stack exchange，提问作者Albert Bos