升级Spring Authorization Server后禁用CSRF失效问题求助

1. 关注Spring Authorization Server 1.4.x的自动配置变更 #

Spring Authorization Server 1.4.x版本对安全过滤器链的自动配置逻辑做了调整，默认CSRF保护的启用规则和配置优先级发生了变化，可能会覆盖你自定义的禁用设置。需要确认你的安全配置类是否正确整合了授权服务器的配置逻辑。

2. 确保自定义安全配置的优先级 #

如果你的自定义安全配置和授权服务器的自动配置存在顺序冲突，可能导致CsrfFilter被重复添加到链中。可以给你的配置类加上@Order(Ordered.HIGHEST_PRECEDENCE)注解，确保它的优先级高于自动配置；或者在定义SecurityFilterChain时明确指定匹配路径，避免和授权服务器默认路径重叠，示例代码：

@Bean
public SecurityFilterChain myCustomSecurityFilterChain(HttpSecurity http) throws Exception {
    http
        .securityMatcher("/my-business-api/**") // 明确限定配置生效的路径
        .csrf(csrf -> csrf.disable())
        // 其他自定义配置
    return http.build();
}

3. 排查是否存在多SecurityFilterChain实例 #

升级后可能因为自动配置逻辑变化，生成了多个SecurityFilterChain Bean，其中某个实例未禁用CSRF。可以通过两种方式排查：

• 启动应用时查看日志，搜索SecurityFilterChain相关输出，确认所有过滤器链的配置细节
• 显式为每个SecurityFilterChain指定唯一的匹配路径，避免配置范围重叠

4. 显式覆盖授权服务器的CSRF配置 #

尝试通过OAuth2AuthorizationServerConfigurer直接配置授权服务器的安全链，确保CSRF被禁用，示例代码：

@Bean
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
    OAuth2AuthorizationServerConfigurer authorizationServerConfigurer = new OAuth2AuthorizationServerConfigurer();
    http
        .apply(authorizationServerConfigurer)
            .and()
        .csrf(csrf -> csrf.disable())
        // 其他授权服务器相关配置
    return http.build();
}

5. 验证Spring Security版本兼容性 #

Spring Authorization Server 1.4.1对Spring Security版本有明确依赖要求，虽然你使用的6.4.2在兼容范围内，但仍建议查看1.4.1的官方依赖说明，确认是否存在版本间的细微兼容性问题，必要时调整Spring Security到推荐版本。

6. 定位CsrfFilter的来源 #

可以通过自定义过滤器打印完整的过滤器链，确认CsrfFilter是来自哪个配置。示例代码：

@Component
public class FilterChainDebugFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        try {
            Field filtersField = FilterChain.class.getDeclaredField("filters");
            filtersField.setAccessible(true);
            List<Filter> filters = (List<Filter>) filtersField.get(filterChain);
            filters.forEach(filter -> System.out.println("Loaded filter: " + filter.getClass().getName()));
        } catch (Exception e) {
            // 忽略反射异常，不影响请求流程
        }
        filterChain.doFilter(request, response);
    }
}

将该过滤器加入链中，启动后查看日志即可定位CsrfFilter的来源，针对性调整配置。

内容的提问来源于stack exchange，提问作者Sunil