Spring Boot 3单元测试中如何禁用Spring方法安全？

核心问题原因 #

Spring Boot 3迁移后，@EnableMethodSecurity的底层机制相比2.x的@EnableGlobalMethodSecurity有变化：即使设置prePostEnabled = false，默认的方法安全拦截逻辑依然会生效，会检查SecurityContext中的Authentication对象；而自定义AuthorizationManager<MethodInvocation>时，若没正确设置优先级或覆盖默认逻辑，也会被框架的默认配置覆盖，导致权限校验依然触发。

可行解决方案 #

方案1：通过测试配置完全禁用方法安全拦截

创建一个测试专用配置类，直接替换方法安全拦截器的授权逻辑为全局允许：

import org.springframework.context.annotation.TestConfiguration;
import org.springframework.security.access.intercept.MethodSecurityInterceptor;
import org.springframework.security.config.annotation.method.configuration.GlobalMethodSecurityConfiguration;
import org.springframework.security.config.annotation.method.configuration.MethodSecurityConfigurer;
import org.springframework.security.core.authorization.AuthorizationDecision;
import org.springframework.beans.factory.config.ObjectPostProcessor;

@TestConfiguration
public class DisableMethodSecurityConfig {

    public static class NoOpMethodSecurityConfig extends GlobalMethodSecurityConfiguration {
        @Override
        protected void configure(MethodSecurityConfigurer<?> configurer) throws Exception {
            configurer.withObjectPostProcessor(new ObjectPostProcessor<Object>() {
                @Override
                public <O> O postProcess(O object) {
                    if (object instanceof MethodSecurityInterceptor) {
                        // 强制设置授权管理器为总是允许
                        ((MethodSecurityInterceptor) object).setAuthorizationManager(
                            (auth, invocation) -> new AuthorizationDecision(true)
                        );
                    }
                    return object;
                }
            });
        }
    }
}

在测试类中导入该配置：

@SpringBootTest
@Import(DisableMethodSecurityConfig.NoOpMethodSecurityConfig.class)
public class YourServiceFunctionalTest {
    // 注入服务类
    @Autowired
    private YourSecuredService service;

    @Test
    void testServiceLogicWithoutSecurity() {
        // 直接调用带@PreAuthorize的方法，无需@WithMockUser
        service.yourSecuredMethod();
    }
}

方案2：配置全局允许的AuthorizationManager（高优先级）

如果不想修改拦截器，也可以通过@Primary注解让自定义的授权管理器覆盖默认实现：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Primary;
import org.springframework.context.annotation.TestConfiguration;
import org.springframework.security.access.method.MethodInvocation;
import org.springframework.security.authorization.AuthorizationDecision;
import org.springframework.security.authorization.AuthorizationManager;

@TestConfiguration
public class DisableMethodSecurityConfig {

    @Bean
    @Primary
    public AuthorizationManager<MethodInvocation> allowAllMethodAuthorizationManager() {
        return (authentication, methodInvocation) -> new AuthorizationDecision(true);
    }
}

同样在测试类中导入该配置即可，这样所有方法安全的授权校验都会直接通过，无需认证信息。

为什么之前的尝试失败？ #

• @EnableMethodSecurity(prePostEnabled = false)：该配置只是关闭了@PreAuthorize/@PostAuthorize等注解的解析支持，但方法安全的基础拦截框架依然在运行，默认的授权管理器会检查SecurityContext是否有Authentication对象，因此抛出AuthenticationCredentialsNotFoundException。
• 未加@Primary的AuthorizationManager Bean：Spring Boot 3中默认的方法安全配置会注册自己的AuthorizationManager，若自定义Bean没有设置更高优先级，会被默认实现覆盖，导致权限校验依然生效。

内容的提问来源于stack exchange，提问作者Chris Brown