OAuth2授权端点报错：需先通过Spring Security认证用户

我来帮你排查这个问题，这个异常的核心原因很明确：在执行OAuth2授权流程前，当前请求还没有完成Spring Security的用户认证。OAuth2授权码模式要求用户必须先登录认证自己的身份，才能决定是否授权客户端访问资源。以下是具体的排查和解决步骤：

1. 检查Spring Security配置，确保授权端点需要认证 #

首先要确认你的SecurityFilterChain配置中，已经将OAuth2授权端点/oauth/authorize设置为需要用户认证的路径。如果这个路径被允许匿名访问，Spring Security就不会引导用户登录，直接抛出异常。

示例配置代码：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            // 要求访问授权端点必须已认证
            .requestMatchers("/oauth/authorize").authenticated()
            // 允许访问登录页面和静态资源等
            .requestMatchers("/login", "/css/**", "/js/**").permitAll()
            // 其他路径默认需要认证
            .anyRequest().authenticated()
        )
        // 配置表单登录，提供用户登录入口
        .formLogin(form -> form
            .loginPage("/login") // 自定义登录页面路径，也可以用默认的
            .permitAll()
        )
        // OAuth2授权流程中可能需要关闭CSRF，或者针对授权端点做特殊配置
        .csrf(csrf -> csrf
            .ignoringRequestMatchers("/oauth/authorize")
        );
    return http.build();
}

2. 确保存在有效的用户认证入口 #

如果你的配置中没有提供登录机制（比如表单登录、HTTP Basic认证、第三方OAuth2登录等），用户无法完成认证，自然会触发这个异常。上面的示例中配置了表单登录，这是最常用的方式，确保用户可以通过登录页面输入账号密码完成认证。

3. 验证授权服务器的用户认证管理器配置 #

如果你使用的是Spring Security OAuth2 Authorization Server（新版本），要确保在授权服务器配置中正确注入了AuthenticationManager，这样授权服务器才能验证当前用户的认证状态：

@Bean
public OAuth2AuthorizationServerConfigurer authorizationServerConfigurer(AuthenticationManager authenticationManager) {
    return OAuth2AuthorizationServerConfigurer.builder()
        .authenticationManager(authenticationManager)
        // 其他配置：客户端注册、授权码服务、令牌服务等
        .clientRegistrationRepository(clientRegistrationRepository())
        .authorizationService(authorizationService())
        .tokenGenerator(tokenGenerator())
        .build();
}

如果是使用旧版的Spring Security OAuth2（比如@EnableAuthorizationServer），要确保在AuthorizationServerConfigurerAdapter中配置了authenticationManager：

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {
    private final AuthenticationManager authenticationManager;

    public AuthorizationServerConfig(AuthenticationManager authenticationManager) {
        this.authenticationManager = authenticationManager;
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.authenticationManager(authenticationManager);
        // 其他端点配置
    }
}

4. 验证请求流程是否正常 #

完成上述配置后，再次访问授权地址：
http://localhost:8080/oauth/authorize?client_id=clientapp&redirect_uri=http://localhost:9000/callback&response_type=code&scope=read_profile

此时如果用户未登录，Spring Security应该自动重定向到登录页面，而不是直接抛出异常。用户登录成功后，才会进入授权确认页面（如果配置了授权确认），最终返回授权码。

内容的提问来源于stack exchange，提问作者Jamie White