Spring Security 5.7：配置HttpSecurity时WebSecurityConfigurerAdapter中'disableDefaults'的等效替代方案

我之前也碰到过这个问题，刚好研究过怎么替代WebSecurityConfigurerAdapter#disableDefaults的配置。先给你理清这个配置的核心作用：它会关闭WebSecurityConfigurerAdapter父类中预设的默认HttpSecurity和WebSecurity配置逻辑，让你完全从零开始自定义安全规则，不会被默认的认证要求、CSRF防护这些预设设置干扰。

在新的基于组件的配置方案中，对应的等效实现可以这样做：

1. 核心替代：@EnableWebSecurity + 自定义SecurityFilterChain #

当你给配置类添加@EnableWebSecurity注解时，Spring Security会自动禁用它的默认自动配置SecurityFilterChain，这样你就能完全自定义自己的安全过滤链，和原来disableDefaults的效果完全一致。代码示例如下：

@Configuration
@EnableWebSecurity // 关键：禁用默认自动配置的安全过滤链
public class SecurityConfiguration {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        // 这里完全按照你的需求自定义配置，无任何默认规则干扰
        // 举个简单示例：
        http
            .authorizeHttpRequests(auth -> auth
                .anyRequest().permitAll() // 允许所有请求访问
            )
            .csrf(csrf -> csrf.disable()); // 关闭CSRF防护

        return http.build();
    }
}

2. 额外补充：忽略特定路径（对应原configure(WebSecurity)） #

如果你原来会在WebSecurityConfigurerAdapter中配置忽略某些路径（比如静态资源），可以通过WebSecurityCustomizer Bean来实现，这也是替代原configure(WebSecurity)方法的标准方式：

@Bean
public WebSecurityCustomizer webSecurityCustomizer() {
    return web -> web.ignoring()
        .antMatchers("/static/**", "/public/**"); // 忽略这些路径的安全检查
}

为什么这样等效？ #

原来的super(true)本质上是告诉WebSecurityConfigurerAdapter不要加载父类预设的默认配置（比如默认要求所有请求认证、开启CSRF、会话管理等）。而@EnableWebSecurity注解会触发Spring Security的手动配置模式，禁用自动配置的默认SecurityFilterChain，让你定义的SecurityFilterChain完全接管安全规则，这就实现了和disableDefaults一样的「从零开始自定义」的效果。

如果你的需求是完全禁用所有Spring Security安全检查（而非自定义），可以直接在配置文件中添加spring.security.enabled=false，但这通常不是大多数场景的需求。

内容的提问来源于stack exchange，提问作者user871611