自定义security-spring-boot-starter中Auth beans未生效问题求助

以下是针对你遇到的自定义Auth Bean未被应用、系统仍使用默认Security配置的问题排查和解决方案：

1. 调整配置类的加载优先级 #

Spring Boot的默认Security自动配置（如SecurityAutoConfiguration、WebSecurityAutoConfiguration）有较高加载优先级，可能导致你的自定义配置类后加载，无法覆盖默认Bean。

给配置类添加@AutoConfigureBefore注解，确保自定义配置在默认Security配置之前生效：

@Configuration
@EnableWebFluxSecurity
@ConditionalOnWebApplication(type = ConditionalOnWebApplication.Type.REACTIVE)
@AutoConfigureBefore(SecurityAutoConfiguration::class)
class WebFluxSecurityConfiguration {
    // ... 你的Bean定义
}

@Configuration
@EnableWebSecurity
@ConditionalOnWebApplication(type = ConditionalOnWebApplication.Type.SERVLET)
@AutoConfigureBefore(SecurityAutoConfiguration::class)
class WebSecurityConfiguration {
    // ... 你的Bean定义
}

也可以用@AutoConfigureOrder设置更高优先级（数值越小优先级越高）：

@AutoConfigureOrder(-100) // 优先级高于默认的0

2. 切换到Spring Boot 2.7推荐的自动配置导入方式 #

Spring Boot 2.7开始推荐使用META-INF/spring/org.springframework.boot.autoconfigure.AutoConfiguration.imports文件替代spring.factories，兼容性更好。

创建该文件，内容为两个配置类的全限定名，每行一个：

rest.auth.configuration.WebFluxSecurityConfiguration
rest.auth.configuration.WebSecurityConfiguration

删除原spring.factories中的对应配置，避免冲突。

3. 验证配置类是否被正确加载 #

• 给配置类添加初始化日志，确认应用启动时是否实例化了你的配置类：

@PostConstruct
fun init() {
    println("WebFluxSecurityConfiguration initialized")
}

• 检查starter的打包结果，确保META-INF目录下的配置文件被正确包含在Jar包中。

4. 检查依赖的UserDetails Bean是否存在 #

你的userDetailsService依赖UserDetails类型的Bean，如果该Bean未被正确注册（比如starter内部未定义、使用starter的应用也未提供），Spring会无法创建自定义的userDetailsService，转而 fallback到默认Security配置。

可以在starter中添加默认的UserDetails自动配置，同时允许用户自定义覆盖：

@Configuration
class UserDetailsAutoConfiguration {
    @Bean
    @ConditionalOnMissingBean
    fun userDetails(): UserDetails {
        return User.withUsername("default")
            .password("{noop}default")
            .roles("USER")
            .build()
    }
}

记得把这个配置类也加入到自动配置导入文件中。

5. 确保SecurityFilterChain Bean配置正确 #

检查你的securityFilterChain方法是否配置了有效的安全规则，若配置逻辑有误，Spring可能判定该Bean无效，转而使用默认配置。

例如WebFlux环境的有效配置示例：

@Bean
fun securityFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
    return http
        .authorizeExchange { exchanges ->
            exchanges.anyExchange().authenticated()
        }
        .httpBasic(withDefaults())
        .formLogin().disable()
        .build()
}

内容的提问来源于stack exchange，提问作者user2625402