Spring OAuth2 登录后跳不回 origin url？TaoToken 这样让 Codex 改对 LoginSuccessHandler

1. 登录成功却跳回默认页origin url 到底丢在哪一步Spring OAuth2 客户端接入统一登录后最常见的排障场景就是用户从http://localhost:8080/order/list这类受保护页面被踢到登录页登录成功后却落到了/login或首页而不是回到/order/list。这个问题的核心检索词就是 Spring OAuth2、Redirect、origin url、login本质是「登录成功后如何 redirect back to origin url」。我先把链路拆开看。用户访问 origin url请求先到 Zuul Gateway同时也是 OAuth2 ClientClient 判断该资源受保护且未登录于是重定向到 OAuth2 Server 的/oauth/authorize。这个重定向 URL 默认只带client_id、redirect_uri、response_type、state并没有把用户最初访问的 origin url 带过去。Server 登录成功后只能按配置的默认地址跳origin url 在这一步就丢了。所以排障要盯三件事origin url 有没有被塞进 authorize 的 query stringServer 端SPRING_SECURITY_SAVED_REQUEST里能不能解析出request_urlonAuthenticationSuccess里有没有优先sendRedirect(originUrl)。这三段代码任何一处断了都会跳回默认地址。下面我用 TaoToken 给 Codex 提供稳定模型通道让它对照这三段逐一诊断OAuth2 逻辑仍由 Codex 帮你改。2. 用 TaoToken 给 Codex 备好模型通道排障这类跨 Client/Server 的跳转问题需要模型能稳定读多段代码并给出可编译的改法。我试过用 TaoToken 作为 Codex 的 Base URL好处是通道稳定、按量计费清晰不会在改到一半时断流。打开 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_end 创建 Key然后在 Codex 的配置里把 Base URL 填成https://taotoken.net/api注意不要带/v1否则请求路径会拼错。Key 生成后到 https://taotoken.net/api-keys 复制接入细节可对照 https://taotoken.net/doc。需要说清楚TaoToken 只负责给 Codex 提供模型通道OAuth2 的跳转逻辑、session 解析、sendRedirect时机全部由 Codex 根据你贴的代码来诊断和修改。它不碰你的业务代码也不替代你的编辑器。3. 可复制配置三段代码把 origin url 带回来3.1 Client 端重写 LoginUrlAuthenticationEntryPoint 存 origin url未登录访问受保护资源时LoginUrlAuthenticationEntryPoint负责发起跳转。我们要在它跳转前把当前请求 URL 存进 session。public class UnauthorizedEntryPoint extends LoginUrlAuthenticationEntryPoint { public UnauthorizedEntryPoint(String loginFormUrl) { super(loginFormUrl); } Override public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException { // 把用户最初访问的 origin url 存进 session request.getSession().setAttribute(requestUrl, request.getRequestURL()); super.commence(request, response, authException); } }这里用getRequestURL()拿到的是不带 query string 的完整地址。如果你的 origin url 带参数建议改成getRequestURL() ? getQueryString()否则参数会在跳回时丢失。3.2 Client 端重写 DefaultRedirectStrategy 拼接 request_urlOAuth2 Client 在组装 authorize URL 时默认策略不会带自定义参数。重写DefaultRedirectStrategy把 session 里的 origin url 拼到 redirect url 后面。class OAuthRedirectStrategy extends DefaultRedirectStrategy { Override public void sendRedirect(HttpServletRequest request, HttpServletResponse response, String url) throws IOException { String redirectUrl calculateRedirectUrl(request.getContextPath(), url); redirectUrl response.encodeRedirectURL(redirectUrl); Object requestUrl request.getSession().getAttribute(requestUrl); if (requestUrl ! null) { redirectUrl request_url requestUrl; } response.sendRedirect(redirectUrl); } }注意拼接用的是request_url因为 authorize URL 本身已经带了?client_id...。如果这里写成?request_url参数会被当成路径的一部分Server 端解析必然失败。3.3 Server 端LoginSuccessHandler 解析并 sendRedirectServer 登录成功后从 session 的SPRING_SECURITY_SAVED_REQUEST里取出带request_url的地址解析后跳回。public class LoginSuccessHandler extends SavedRequestAwareAuthenticationSuccessHandler { Override public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException { Object saved request.getSession().getAttribute(SPRING_SECURITY_SAVED_REQUEST); if (saved ! null) { String savedRequest saved.toString(); // 按 切分参数逐个找 request_url String[] params savedRequest.split(); for (String param : params) { if (param.contains(request_url)) { String originUrl param.split()[1].split(])[0]; response.sendRedirect(originUrl); return; } } } super.onAuthenticationSuccess(request, response, authentication); } }关键点在split()[1].split(])[0]。SPRING_SECURITY_SAVED_REQUEST的toString()往往带]结尾不切掉就会拼出非法 URL。另外找到后要return否则会继续走父类默认跳转覆盖掉你的sendRedirect。3.4 Server 端注册 LoginSuccessHandlerConfiguration EnableWebSecurity public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter { Override protected void configure(HttpSecurity httpSecurity) throws Exception { httpSecurity .authorizeRequests().antMatchers(/login/**, /js/**, /css/**, /img/**).permitAll() .anyRequest().authenticated() .and().formLogin().loginPage(/login).permitAll() .and().csrf().disable(); httpSecurity.addFilter(myUsernamePasswordAuthenticationFilter()); } Bean public UsernamePasswordAuthenticationFilter myUsernamePasswordAuthenticationFilter() throws Exception { MyUsernamePasswordAuthenticationFilter filter new MyUsernamePasswordAuthenticationFilter(); filter.setAuthenticationManager(authenticationManager()); filter.setAuthenticationSuccessHandler(loginSuccessHandler()); return filter; } Bean public LoginSuccessHandler loginSuccessHandler() { return new LoginSuccessHandler(); } }4. 验证请求确认 request_url 真的传到了 Server改完别急着点登录先手动验证参数有没有传过去。在浏览器打开受保护页面被踢到登录页后看地址栏的 authorize URL 是否长这样http://127.0.0.1:8080/auth/oauth/authorize?client_idoauth2_client_idredirect_urihttp://127.0.0.1/loginresponse_typecodestateB5c3xarequest_urlhttp://localhost:8080/order/list如果末尾没有request_url...说明 3.2 的OAuthRedirectStrategy没生效检查FilterRegistrationBean有没有把OAuth2ClientContextFilter的 redirectStrategy 替换掉。接着在 Server 端onAuthenticationSuccess里加一行日志打印savedRequest的完整内容System.out.println(savedRequest savedRequest);登录后看控制台正常应输出类似savedRequest DefaultSavedRequest [http://127.0.0.1:8080/auth/oauth/authorize?client_idoauth2_client_idredirect_urihttp://127.0.0.1/loginresponse_typecodestateB5c3xarequest_urlhttp://localhost:8080/order/list]能看到request_url且值正确说明链路通了。此时登录成功应直接跳回/order/list而不是/login。5. 本篇常见错排查5.1 SPRING_SECURITY_SAVED_REQUEST 里没有 request_url最常见的原因是 Client 端OAuthRedirectStrategy没被注册。检查FilterRegistrationBean是否设置了filter.setRedirectStrategy(new OAuthRedirectStrategy())并且setOrder(-100)让它排在前面。如果 order 太大可能被其他 filter 抢先处理。5.2 解析时被 split 截断split()后如果参数值里本身带会被多切一刀。更稳的写法是用正则或先定位request_url再取到下一个之前String originUrl savedRequest.replaceAll(.*request_url([^\\]]).*, $1);这样即使参数顺序变化、带]结尾也能正确提取。5.3 onAuthenticationSuccess 里没优先 sendRedirect如果sendRedirect后面没有return父类SavedRequestAwareAuthenticationSuccessHandler会继续执行默认跳转把 origin url 覆盖掉。务必在sendRedirect后立即return。5.4 跳回地址带上了 Server 的域名如果request_url存的是相对路径跳回时会拼到 Server 域名下。确保 3.1 里存的是完整 URLgetRequestURL()返回的就是完整地址否则要手动补上 Client 的 scheme 和 host。5.5 多客户端下 session 串了多个 Client 共用 Server 时requestUrl存在各自 Client 的 session 里Server 只负责解析request_url参数不依赖自己的 session 存 origin url。如果发现跳错客户端检查是不是把 origin url 存到了 Server 的 session。6. 把 Codex 接到排障流程里排障到这一步如果你不想手动逐行比对可以让 Codex 直接读这三段代码。把 Base URL 设为https://taotoken.net/api不带/v1Key 从 https://taotoken.net/api-keys 拿然后让 Codex 检查SPRING_SECURITY_SAVED_REQUEST里是否真的有request_url、解析有没有被split截断、onAuthenticationSuccess是否优先sendRedirect(originUrl)。长期做编码和 Agent 联调的话可以看 https://taotoken.net/coding-plan只想先验证模型对这段代码的理解用 https://taotoken.net/models 对话即可。接入文档在 https://taotoken.net/docClaude Code 相关配置参考 https://taotoken.net/claudecode。OAuth2 的跳转逻辑始终由 Codex 帮你诊断和改代码TaoToken 只保证模型通道稳定。