Самостоятельная ссылка на доктрину и взаимность

Эта функция просто генерирует значение состояния String (по умолчанию UUID.randomUUID().toString()), помещает его в сеанс и передает его поставщику в качестве параметра «состояние» в запросе авторизации. Ожидается, что провайдер передаст его обратно на обратный вызов. Если сохраненное состояние соответствует тому, которое было в обратном вызове, тогда мы хороши. Если они не совпадают, тогда вы видите исключение, которое вы упомянули там.

Это должно работать, но да, я вижу, что у вас проблемы. Я также нашел эту ссылку, которая может быть стоит посмотреть: https://github.com/spring-projects/spring-social-facebook/issues/103