Spring OAuth2如何配置忽略查询参数的重定向URI前缀？

你遇到的这个问题很常见——OAuth2默认会精确匹配重定向URI，包括后面的查询参数，所以当你的应用请求里的redirect_uri带?parameter=value，但服务器配置的批准URI是不带参数的http://applicationserver/login时，就会触发RedirectMismatchException。下面给你几种可行的解决方案，同时也聊聊你的做法是否合理：

一、使用通配符配置批准的重定向URI #

这是最简单的方式，大多数Spring OAuth2版本都支持通过通配符来匹配前缀，忽略后续的查询参数或路径。

1. Spring Security OAuth2.x（旧版） #

如果你的项目用的是传统的@EnableAuthorizationServer，可以在客户端配置里用*作为通配符：

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {
    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
                .withClient("myClient")
                .secret("{noop}myClientSecret") // 注意生产环境要加密处理
                .authorizedGrantTypes("authorization_code")
                .redirectUris("http://applicationserver/login*"); // 匹配所有以该前缀开头的URI
    }
}

或者用配置文件（application.yml）：

security:
  oauth2:
    client:
      client-id: myClient
      client-secret: myClientSecret
      authorized-grant-types: authorization_code
      redirect-uris: http://applicationserver/login*

2. Spring Authorization Server（Spring Security 5.x+ 新版） #

如果是用Spring官方推荐的新版Authorization Server，需要在RegisteredClient里使用{*any}模式来匹配后缀：

@Bean
public RegisteredClientRepository registeredClientRepository() {
    RegisteredClient myClient = RegisteredClient.withId(UUID.randomUUID().toString())
            .clientId("myClient")
            .clientSecret("{bcrypt}$2a$10$...") // 生产环境务必使用加密后的密码
            .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
            .redirectUri("http://applicationserver/login{*any}") // 匹配前缀后的任意内容
            .build();
    return new InMemoryRegisteredClientRepository(myClient);
}

二、自定义重定向URI匹配逻辑 #

如果通配符不够灵活（比如需要更精细的匹配规则），可以自己实现重定向URI的解析器，忽略查询参数只匹配核心路径部分。

以Spring Security OAuth2.x为例，重写DefaultRedirectResolver：

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {
    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.redirectResolver(new DefaultRedirectResolver() {
            @Override
            public String resolveRedirectUri(String requestedRedirectUri, ClientDetails client) throws OAuth2Exception {
                try {
                    // 提取请求URI的核心部分：协议+主机+路径，忽略查询参数
                    URI uri = new URI(requestedRedirectUri);
                    String baseUri = uri.getScheme() + "://" + uri.getAuthority() + uri.getPath();
                    
                    // 检查核心路径是否在客户端批准的URI列表中
                    if (client.getRegisteredRedirectUri().contains(baseUri)) {
                        return requestedRedirectUri; // 允许原始带参数的URI
                    }
                } catch (URISyntaxException e) {
                    throw new OAuth2Exception("Invalid redirect URI", e);
                }
                throw new RedirectMismatchException("Redirect URI mismatch.");
            }
        });
    }
}

三、关于你的做法是否合理 #

完全没问题！在重定向URI里携带自定义查询参数是很常见的场景——比如传递state参数防CSRF，或者传递应用内部的跳转标识。OAuth2规范也允许重定向URI包含查询参数，只是大多数服务器默认采用精确匹配策略，所以只要调整服务器的匹配规则即可。

⚠️ 注意：不管用哪种方式，都要确保批准的URI范围足够严格，避免使用过于宽泛的通配符（比如http://*），防止恶意URI被批准导致安全风险。

内容的提问来源于stack exchange，提问作者sternr