Spring Security XML配置SOAP WebService基础认证失效排查

问题原因 #

你的Spring Security XML配置存在两个核心问题：

1. 配置结构错误：完整配置中有两个未被注释的<intercept-url>标签直接放在根元素下，而非嵌套在<http>块内部，这部分规则完全无效。
2. 缺少密码编码器：Spring Security 5.x及以上版本默认要求密码编码器，明文密码会导致认证逻辑异常，进而使拦截规则无法正确生效。

修正后的XML配置 #

以下是符合要求的完整配置，确保拦截规则生效且基础认证正常工作：

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
             xmlns:beans="http://www.springframework.org/schema/beans"
             xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
             xsi:schemaLocation="http://www.springframework.org/schema/security
           https://www.springframework.org/schema/security/spring-security.xsd
           http://www.springframework.org/schema/beans
           http://www.springframework.org/schema/beans/spring-beans.xsd"
>

    <global-method-security pre-post-annotations="enabled" />

    <http pattern="/securityNone"  security="none"/>

    <!-- 核心HTTP安全配置块 -->
    <http use-expressions="true">
        <!-- 精准拦截SOAP服务的POST请求，要求已认证且拥有指定权限 -->
        <intercept-url pattern="/services/**" access="hasAuthority('ROLE_USER')" method="POST" />
        <!-- 启用HTTP Basic认证 -->
        <http-basic />
        <!-- 处理权限不足的请求，返回403状态码 -->
        <access-denied-handler error-page="/403" />
    </http>

    <authentication-manager>
        <authentication-provider>
            <!-- 添加密码编码器（测试用明文编码器，生产环境请替换为BCrypt等） -->
            <password-encoder ref="plainTextPasswordEncoder"/>
            <user-service>
                <user name="user1" password="123456" authorities="ROLE_USER" />
            </user-service>
        </authentication-provider>
    </authentication-manager>

    <!-- 明文密码编码器（仅用于测试，生产环境务必替换为安全的加密编码器） -->
    <beans:bean id="plainTextPasswordEncoder" class="org.springframework.security.crypto.password.NoOpPasswordEncoder">
        <beans:constructor-arg value="true"/>
    </beans:bean>

</beans:beans>

关键配置说明 #

• 所有<intercept-url>必须嵌套在<http>元素内部，否则Spring Security无法识别拦截规则。
• 使用pattern="/services/**"精准匹配SOAP服务路径，避免过度拦截其他无关资源。
• NoOpPasswordEncoder仅用于测试场景，生产环境请替换为BCryptPasswordEncoder，并预先对密码进行加密存储。
• <access-denied-handler>确保无权限或认证失败的请求返回403状态码，而非200。

isAuthenticated()与authenticated的区别 #

• 当use-expressions="true"时：
  • isAuthenticated()是Spring Security的SpEL表达式方法，用于判断用户是否完成认证。
  • authenticated是SpEL内置变量，与isAuthenticated()完全等价，属于简写形式。
• 当use-expressions="false"（默认值）时：
  • access="authenticated"是Spring Security原生属性值，表示仅允许已认证用户访问，此时无法使用isAuthenticated()表达式。

内容的提问来源于stack exchange，提问作者Ciccio Cappuccio