Spring Boot BFF OAuth2授权码换JWT流程配置问题求助

我现有一个Spring Boot BFF，打算升级认证流程，目标采用OAuth2授权码模式：用户访问应用未授权（无有效JWT或JWT过期）时，自动重定向至认证服务器；用户在认证服务器登录后，携带code回调回应用，由应用使用code换取JWT。目前配置后仅能实现受限端点拦截，但未触发重定向至认证服务器的逻辑。

现有配置信息 #

依赖配置 #

• spring-boot-parent - 3.5.0
• spring-boot-starter-web
• spring-boot-starter-security
• spring-security-oauth2-client
• lombok

Controller代码 #

@RestController
@Slf4j
public class TestController {
    @GetMapping("/home")
    public String home() {
        return "<html><body><h1>greetings</h1></body></html>";
    }

    @GetMapping("/liveness")
    public ResponseEntity<Object> liveness() {
        return ResponseEntity.ok().build();
    }
}

Security配置代码 #

@configuration
public class TestConfig {
    @Bean
    public SecurityFilterChan(HttpSecurity httpSecurity) {
        return httpSecurity
            .authorizeHttpRequests(e -> e.requestMatchers("/liveness").permitAll())
            .authorizeHttpRequests(e -> e.anyRequest().authenticated())
            .build();
    }
}

application.yaml配置 #

spring:
  security:    
    oauth2:
      client:
        registration:
          client-id: ${client-id}
          client-secret: ${client-secret}
          provider: auth-server
          authorization-grant-type: authorization_grant
          redirect-uri: ${redirect-uri}
        provider:
          auth-server:
            issuer-uri: ${issuer-uri}

问题排查与修复方案 #

1. 启用OAuth2客户端认证流程 #

当前Security配置仅做了权限拦截，未启用OAuth2客户端的重定向与code回调逻辑，需添加oauth2Login()配置：

@Configuration
public class TestConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity httpSecurity) throws Exception {
        return httpSecurity
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/liveness").permitAll()
                .anyRequest().authenticated()
            )
            .oauth2Login(oauth2 -> oauth2
                .redirectionEndpoint(redir -> redir
                    .baseUri("/login/oauth2/code/*") // 匹配认证服务器回调的code路径，默认值可根据实际调整
                )
            )
            .build();
    }
}

2. 修正application.yaml配置错误 #

• authorization-grant-type的值应为authorization_code（原配置写的authorization_grant是拼写错误）
• 给registration指定明确的ID（比如auth-server-client），否则Spring无法正确识别客户端注册
• 推荐使用模板变量配置redirect-uri，适配应用部署路径：

spring:
  security:    
    oauth2:
      client:
        registration:
          auth-server-client:
            client-id: ${client-id}
            client-secret: ${client-secret}
            provider: auth-server
            authorization-grant-type: authorization_code
            redirect-uri: "{baseUrl}/login/oauth2/code/auth-server-client"
        provider:
          auth-server:
            issuer-uri: ${issuer-uri}

3. 修正Security配置的代码错误 #

• @configuration改为@Configuration（首字母大写，Spring注解要求）
• 返回类型修正为SecurityFilterChain（原代码SecurityFilterChan是拼写错误）
• 方法添加throws Exception声明，因为HttpSecurity配置方法会抛出异常

4. 验证回调端点权限 #

Spring Security默认会放行/login/oauth2/code/*路径，无需额外配置；如果有自定义拦截规则，需确保该路径未被拦截。

完成以上修改后，用户访问/home等需认证端点时，会自动重定向至认证服务器登录页，登录成功后携带code回调至应用，应用将自动完成code换取JWT的流程。

内容的提问来源于stack exchange，提问作者user10717742