Spring Boot基于数据库用户的JWT资源服务器：添加用户创建专用的Basic Auth内存用户认证方式问题

嘿，我看你已经把内存用户的加载逻辑配置好了，但为啥认证的时候没用到它呢？核心问题在于你的资源服务器Security配置只启用了JWT认证，没开启Basic Auth支持，也没为用户创建的专属端点单独指定认证规则，导致内存用户的认证逻辑根本没机会触发。我来帮你调整下配置，实现两种认证方式共存：

第一步：修改资源服务器的SecurityFilterChain，区分端点配置认证规则 #

我们需要为用户创建的接口（比如/api/users/create这类）单独配置Basic Auth，其他接口保持原有的JWT认证。修改后的ResourceServerConfig如下：

@EnableMethodSecurity
@Configuration
@RequiredArgsConstructor
public class ResourceServerConfig {

    private final UserAuthenticationTokenConverter userAuthenticationTokenConverter;
    private final InMemoryUserDetailsManager inMemoryUserDetailsManager;

    @Bean
    public SecurityFilterChain resourceServerSecurityFilterChain(HttpSecurity http) throws Exception {
        // 配置用户创建专属端点的Basic Auth规则
        http.securityMatcher("/api/users/**") // 替换成你实际的用户创建接口路径
            .authorizeHttpRequests(auth -> auth.anyRequest().hasRole("ADMIN")) // 要求内存用户具备ADMIN角色
            .httpBasic(Customizer.withDefaults())
            .userDetailsService(inMemoryUserDetailsManager);

        // 配置其他所有接口的JWT认证规则
        http.securityMatcher("/**")
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .oauth2ResourceServer(customizer ->
                customizer.jwt(jwt ->
                    jwt.jwtAuthenticationConverter(userAuthenticationTokenConverter)
                )
            );

        return http.build();
    }
}

第二步：确保内存用户的权限配置正确 #

检查你的PropertiesUserDetails类，要给内存用户正确配置权限（比如ROLE_ADMIN），这样才能通过上面配置的hasRole("ADMIN")校验：

// 示例PropertiesUserDetails实现
public class PropertiesUserDetails implements UserDetails {
    private final String username;
    private final String password;
    private final List<String> roles;

    // 构造方法省略

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        return roles.stream()
            .map(role -> new SimpleGrantedAuthority("ROLE_" + role))
            .collect(Collectors.toList());
    }

    // 其他UserDetails方法实现省略
}

第三步：验证效果 #

• 请求用户创建接口时，使用Basic Auth方式：在请求头里添加Authorization: Basic [base64编码的用户名:密码]，此时会触发内存用户的认证逻辑。
• 请求其他业务接口时，继续使用JWT的Bearer令牌，走原有数据库用户的认证流程。

为啥原来的配置不生效？ #

你之前的ResourceServerConfig只配置了oauth2ResourceServer，相当于告诉Spring Security所有接口都用JWT认证，完全没启用Basic Auth的处理逻辑，所以内存用户的配置根本没被用到。通过拆分securityMatcher，我们给不同的端点指定了不同的认证策略，这样两种认证方式就能各司其职啦。

备注：内容来源于stack exchange，提问作者Murillo Tavares