SpringBoot OAuth2 Client创建Security Filter Chain报错求助

核心原因 #

Spring Cloud Gateway是响应式Web框架，依赖Spring WebFlux，而你编写的SecurityFilterChain是基于Servlet栈的（使用HttpSecurity）。此时Spring Boot会同时尝试注册两个同名bean：

• 响应式环境下自动配置的ReactiveOAuth2ClientConfigurations中的springSecurityFilterChain（实际为SecurityWebFilterChain）
• 你编写的Servlet版SecurityFilterChain（由WebSecurityConfiguration注册）
  由于Spring默认禁止bean覆盖，因此抛出冲突错误。

你之前在OAuth2资源服务器/授权服务器中配置正常，是因为那些服务基于Servlet栈，和你编写的配置匹配。

解决方案 #

1. 替换为响应式Security配置 #

删除原有的Servlet版SecurityFilterChain，改用Reactive环境对应的SecurityWebFilterChain配置：

@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
    http
        .authorizeExchange(exchanges -> exchanges
            .anyExchange().authenticated()
        )
        .oauth2Client(Customizer.withDefaults())
        .oauth2Login(Customizer.withDefaults());
    return http.build();
}

注意：这里使用的是ServerHttpSecurity（Reactive版），而非Servlet栈的HttpSecurity。

2. 清理不必要的依赖 #

移除jakarta.servlet-api依赖，Spring Cloud Gateway不依赖Servlet栈：

<!-- 移除该依赖 -->
<dependency>
    <groupId>jakarta.servlet</groupId>
    <artifactId>jakarta.servlet-api</artifactId>
    <version>6.0.0</version>
    <scope>provided</scope>
</dependency>

同时，spring-boot-starter-security无需指定版本（通过Spring Cloud的dependency management统一管理），建议修改为：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

3. 验证OAuth2配置一致性 #

确保你的OAuth2 Client配置（application.yml/application.properties）适配Reactive环境，示例：

spring:
  security:
    oauth2:
      client:
        registration:
          github:
            client-id: your-client-id
            client-secret: your-client-secret
            scope: read:user
        provider:
          github:
            authorization-uri: https://github.com/login/oauth/authorize
            token-uri: https://github.com/login/oauth/access_token
            user-info-uri: https://api.github.com/user
            user-name-attribute: login

关键知识点 #

• Spring Cloud Gateway 基于WebFlux（响应式），必须使用Reactive版Spring Security配置（SecurityWebFilterChain + ServerHttpSecurity）
• Servlet版SecurityFilterChain仅适用于Spring MVC（Servlet栈）项目
• Spring Boot自动配置会根据项目依赖（WebFlux/MVC）选择对应的Security配置类型，手动配置必须匹配环境

内容的提问来源于stack exchange，提问作者White space