Spring Boot 3.2.1集成Azure AD默认配置无法保护API问题咨询

我正尝试按照微软文档《Protecting a resource server/API》的指引，用Spring Boot 3.2.1结合spring-cloud-azure-starter-active-directory 5.11.0实现API保护。配置如下：

现有配置 #

application.yml

spring:
  cloud:
    azure:
      active-directory:
        enabled: true
        credential:
          client-id: <some-id>
        app-id-uri: <some-id>

pom.xml

<dependency>
   <groupId>com.azure.spring</groupId>
   <artifactId>spring-cloud-azure-starter-active-directory</artifactId>
   <version>5.11.0</version>
</dependency>
<dependency>
   <groupId>org.springframework.boot</groupId>
   <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>

根据文档说明，Spring Cloud Azure 5.x的默认配置即可完成API保护，但实际端点仍未受保护——有无JWT都能调用。而使用以下自定义SecurityFilterChain配置时功能正常，想了解如何通过默认配置实现以避免重复代码：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) {
    return http.csrf(csrf -> csrf.disable())
            .headers(headers -> headers.disable())
            .sessionManagement(session -> session.sessionCreationPolicy(STATELESS))
            .with(AadResourceServerHttpSecurityConfigurer.aadResourceServer(), Customizer.withDefaults())
            .authorizeHttpRequests(authorize -> authorize.anyRequest().authenticated())
            .build();
}

解决方案 #

核心原因 #

Spring Cloud Azure 5.x的AadResourceServerAutoConfiguration自动配置类，只有在没有自定义SecurityFilterChain Bean的前提下才会生效。如果存在自定义的SecurityFilterChain，自动配置会被跳过，这也是自定义配置正常但默认配置失效的关键原因。

实现默认配置生效的步骤 #

1. 移除自定义SecurityFilterChain Bean：删除上述自定义的securityFilterChain Bean方法，让Spring Cloud Azure的自动配置接管安全规则。
2. 验证配置完整性：
   • 确保app-id-uri配置的是Azure AD中注册API的应用程序ID URI（可在Azure门户API注册页面查看），该值用于验证JWT的aud（受众）声明。
   • 确认client-id是API在Azure AD中的注册客户端ID。
3. 检查自动配置是否被排除：查看项目启动类或配置类，确保没有通过@EnableAutoConfiguration(exclude = ...)排除AadResourceServerAutoConfiguration类。
4. 确认依赖有效性：已正确引入spring-boot-starter-oauth2-resource-server，这是自动配置生效的必要依赖，无需调整。

额外排查 #

若按上述操作后仍不生效，可开启Debug级别日志排查自动配置加载情况：

• 在application.yml中添加配置：logging.level.org.springframework.boot.autoconfigure: debug
• 启动项目后搜索日志中的AadResourceServerAutoConfiguration，确认该类是否正常加载，是否存在条件不满足的提示（比如检测到自定义SecurityFilterChain）。

内容的提问来源于stack exchange，提问作者user142405