Spring6迁移：XML与Java混合配置SecurityFilterChain的整合问题

核心问题分析 #

你遇到的问题本质是：

• 旧XML中的Spring Security配置（如<security:http>等标签）会自动生成一个SecurityFilterChain Bean
• 新Java配置类中通过@Bean定义的SecurityFilterChain又会创建另一个实例
• 两者共存导致Bean重复实例化、依赖注入混乱，甚至手动在XML中注册Java配置类时，触发双重Bean创建逻辑

分步解决方案 #

1. 彻底清理旧XML中的Spring Security配置 #

这是解决双重FilterChain的核心前提，必须把原XML里所有和Spring Security相关的配置全部注释或删除，包括：

• <security:http> 整个配置块
• <security:authentication-manager> 及相关认证Bean定义
• 任何与Spring Security过滤器、授权规则绑定的配置项

旧XML的Security配置会自动生成过滤器链，和Java配置的实例冲突，不清理的话后续操作都会白搭。

2. 让Spring自动识别Java配置类，无需XML手动注册 #

不要在XML里写<bean class="xxx.YourSecurityConfig"/>，而是通过以下方式让Spring自动加载Java配置：

方式一：XML中开启组件扫描，覆盖Java配置类所在包

在主Spring配置XML中添加组件扫描标签，指定你的Security配置类所在包：

<context:component-scan base-package="com.yourproject.config.security"/>

确保你的Java配置类（比如AuthorizationServerConfig、ResourceServerConfig）上标注了@Configuration注解，Spring会自动扫描并加载这些配置。

方式二：用XML的<bean>标签直接导入Java配置类

如果不想大范围扫描包，可直接在XML中导入单个配置类：

<bean class="com.yourproject.config.security.AuthorizationServerConfig"/>
<bean class="com.yourproject.config.security.ResourceServerConfig"/>

⚠️ 注意：这种方式下，Java配置类必须标注@Configuration，Spring会保证Bean单例性——如果之前出现重复创建，大概率是旧XML的Security配置没清干净。

3. 确保Java配置类符合Spring 6及授权服务器要求 #

你的Java配置要严格遵循Spring Authorization Server的规范，关键要点：

• 用@Order指定过滤器链的优先级，避免不同FilterChain冲突
• 授权服务器配置要注入RegisteredClientRepository等核心Bean
• 资源服务器配置要正确绑定OAuth2资源服务规则

简化示例：

@Configuration
public class AuthorizationServerConfig {

    @Bean
    @Order(1) // 授权服务器FilterChain优先级更高
    public SecurityFilterChain authorizationServerFilterChain(HttpSecurity http) throws Exception {
        OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);
        http.formLogin(Customizer.withDefaults()); // 启用表单登录
        return http.build();
    }

    @Bean
    public RegisteredClientRepository registeredClientRepository(JdbcTemplate jdbcTemplate) {
        return new JdbcRegisteredClientRepository(jdbcTemplate);
    }
}

@Configuration
public class ResourceServerConfig {

    @Bean
    @Order(2) // 资源服务器FilterChain优先级低于授权服务器
    public SecurityFilterChain resourceServerFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()));
        return http.build();
    }
}

4. 排查Bean重复创建的额外可能 #

如果还是出现Bean重复，检查以下几点：

• 是否存在多个Spring上下文（如Web上下文和根上下文）都加载了Security配置？
• 原XML中是否有<import>重复导入了同一配置文件？
• 检查@ComponentScan是否重复扫描了同一个包（比如XML和Java配置都扫了相同路径）

5. 验证过滤器链是否生效 #

启动应用后，通过以下方式确认：

• 在Java配置的SecurityFilterChain方法中打印实例哈希值，看是否只有一个实例
• 访问需要认证的接口，验证是否触发Java配置中的授权规则
• 查看日志，搜索SecurityFilterChain相关输出，确认加载的是你的Java配置实例

内容的提问来源于stack exchange，提问作者hellokk