Spring Boot微服务如何基于URL路径实现多类型认证？

完全可以通过Spring Security实现按URL路径区分不同认证方式，核心是利用多个SecurityFilterChain（或在单个链中配置多组认证规则并指定适用路径），下面是针对你需求的具体实现方案：

问题分析 #

你现有代码存在几个问题：

1. 多次调用authorizeHttpRequests会覆盖之前的配置，因为该方法返回的是新的配置实例，而非累加规则；
2. 未配置Basic认证逻辑，无法满足/keys/**的认证需求；
3. 全局禁用匿名认证，但/public/**需要允许无认证访问，会导致冲突。

解决方案：多SecurityFilterChain配置 #

通过创建多个带有@Order注解的SecurityFilterChain Bean，每个Bean对应一组路径和认证规则，Spring Security会按顺序匹配路径并应用对应规则。

1. 配置Basic认证的用户信息 #

首先需要为Basic认证提供用户数据源（这里用内存用户示例，实际可替换为数据库查询）：

@Bean
public UserDetailsService userDetailsService() {
    // 注意：生产环境务必使用加密后的密码，这里用bcrypt示例
    UserDetails basicUser = User.withUsername("key-admin")
            .password("{bcrypt}$2a$10$EixZaY3s7vjR0k8L5kXyaeK7c2Q0L9y6y6y6y6y6y6y6y6y6")
            .roles("KEY_USER")
            .build();
    return new InMemoryUserDetailsManager(basicUser);
}

2. 定义多个SecurityFilterChain #

@Configuration
@EnableWebSecurity
@EnableMethodSecurity
public class WebSecurityConfig {

    // 处理/public/**：无需认证，直接放行
    @Bean
    @Order(1) // 优先级最高，先匹配
    public SecurityFilterChain publicAccessFilterChain(HttpSecurity http) throws Exception {
        http
                .securityMatcher("/public/**")
                .authorizeHttpRequests(auth -> auth.anyRequest().permitAll())
                .csrf(csrf -> csrf.disable()); // 根据业务需求决定是否禁用CSRF
        return http.build();
    }

    // 处理/keys/**：使用Basic认证
    @Bean
    @Order(2)
    public SecurityFilterChain basicAuthFilterChain(HttpSecurity http) throws Exception {
        http
                .securityMatcher("/keys/**")
                .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
                .httpBasic(Customizer.withDefaults()) // 启用Basic认证
                .csrf(csrf -> csrf.disable());
        return http.build();
    }

    // 处理/internal/**：使用Bearer JWT认证，需ADMIN角色
    @Bean
    @Order(3)
    public SecurityFilterChain oauth2JwtFilterChain(HttpSecurity http) throws Exception {
        http
                .securityMatcher("/internal/**")
                .authorizeHttpRequests(auth -> auth.anyRequest().hasRole("ADMIN"))
                .oauth2ResourceServer(oauth2 -> oauth2
                        .jwt(jwt -> jwt
                                .jwtAuthenticationConverter(jwt -> {
                                    Map<String, Collection<String>> realmAccess = jwt.getClaim("realm_access");
                                    Collection<String> roles = realmAccess.get("roles");
                                    var grantedAuthorities = roles.stream()
                                            .map(SimpleGrantedAuthority::new)
                                            .collect(Collectors.toList());
                                    return new JwtAuthenticationToken(jwt, grantedAuthorities);
                                })
                        )
                )
                .csrf(csrf -> csrf.disable());
        return http.build();
    }
}

关键说明 #

• @Order注解：决定FilterChain的匹配优先级，数值越小优先级越高，确保特定路径的规则先被匹配；
• securityMatcher：指定当前FilterChain生效的路径范围，避免规则冲突；
• 每个FilterChain独立配置认证方式：/public/**直接放行，/keys/**启用Basic，/internal/**启用OAuth2 JWT认证并校验角色。

这样配置后，三个路径就会分别应用对应的认证规则，完全满足你的需求。

内容的提问来源于stack exchange，提问作者Peter Penzov