如何在Maven dev环境禁用Spring Security，prod环境正常启用？

问题根源 #

你之前通过spring.autoconfigure.exclude排除SecurityAutoConfiguration来禁用dev环境的Spring Security，但添加自定义SecurityConfiguration后，这个配置类依赖了AuthenticationConfiguration——而这个bean正是SecurityAutoConfiguration负责加载的。当dev环境排除自动配置时，该bean不存在，导致依赖注入失败报错。

方案1：使用@Profile注解控制配置类生效范围 #

这是最直接的方式，让自定义Security配置仅在prod环境生效：

1. 修改你的SecurityConfiguration类，添加@Profile("prod")注解：

@Configuration
@Profile("prod") // 仅在prod环境加载该配置
public class SecurityConfiguration {
    // 原有代码不变
    @Bean
    public AuthenticationManager authenticationManager(AuthenticationConfiguration authConfig) throws Exception {
        return authConfig.getAuthenticationManager();
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http, AuthenticationManager authenticationManager) throws Exception {
        // 原有配置逻辑不变
    }
}

2. 在application-dev.properties中保留原有的排除配置：

spring.autoconfigure.exclude[0]=org.springframework.boot.autoconfigure.security.servlet.SecurityAutoConfiguration

3. application-prod.properties中不需要添加任何排除配置，Spring会自动加载Security相关自动配置，同时你的自定义配置会覆盖默认逻辑。

这样dev环境下：

• 排除了Security自动配置，且自定义SecurityConfiguration不生效，完全禁用安全认证
  prod环境下：
• 加载Security自动配置，同时加载自定义SecurityConfiguration，启用你的自定义安全规则

方案2：使用配置开关控制（无需修改配置类注解） #

如果你不想用@Profile，可以通过配置属性开关来控制自定义配置是否生效：

1. 在application-dev.properties中添加开关并保留排除配置：

spring.autoconfigure.exclude[0]=org.springframework.boot.autoconfigure.security.servlet.SecurityAutoConfiguration
security.enabled=false # 自定义开关，控制Security配置是否生效

2. 在application-prod.properties中添加开关（或省略，因为matchIfMissing设为true）：

security.enabled=true

3. 修改SecurityConfiguration类，添加@ConditionalOnProperty注解：

@Configuration
@ConditionalOnProperty(name = "security.enabled", havingValue = "true", matchIfMissing = true)
// 当security.enabled为true时生效，未配置时默认生效（适配prod环境）
public class SecurityConfiguration {
    // 原有代码不变
}

这个方案的效果和方案1一致，但通过配置属性来控制，更灵活。

为什么原有方法失效？ #

当你排除SecurityAutoConfiguration时，Spring Security的核心基础设施bean（包括AuthenticationConfiguration、UserDetailsService等默认实现）都不会被初始化。而你的自定义配置类直接依赖了AuthenticationConfiguration，所以Spring无法找到这个bean，导致启动失败。通过让自定义配置仅在prod环境生效，dev环境下既排除自动配置，又没有自定义配置依赖，就能正常禁用Security。

内容的提问来源于stack exchange，提问作者Gianmarco