Spring中@EnableWebSecurity注解的必要性及自定义安全配置缺失项疑问

首先，先解答你最困惑的点：为什么移除@EnableWebSecurity后应用依然能正常运行？

其实这和Spring Boot的自动配置机制有关。Spring Boot的spring-boot-starter-security依赖里自带了SecurityAutoConfiguration自动配置类，它会默认启用一些基础安全规则（比如生成默认用户、开启表单登录等）。当你继承WebSecurityConfigurerAdapter但没加@EnableWebSecurity时，在部分Spring Boot版本中，自动配置依然会生效；再加上你的类标注了@Component能被扫描到，部分自定义配置也会被加载——但这其实是不规范的，不同版本的Spring Boot可能表现不一致，强烈建议始终加上@EnableWebSecurity，因为它明确标记这是Spring Security配置类，会完全接管安全配置，避免自动配置和自定义配置的冲突。

接下来分析你的配置类里的问题与缺失项：

1. 基础语法与注解错误 #

• 类上的@Component不合适：应该替换成@Configuration + @EnableWebSecurity（或者直接用@EnableWebSecurity，因为它本身包含@Configuration元注解）。@Component虽然能让类被扫描到，但Spring Security配置类需要被识别为配置类，才能正确处理其中的@Bean和重写方法。
• 拼写错误：PasswsordEncoder和BrcyptPasswordEncoder都拼错了，正确的是PasswordEncoder和BCryptPasswordEncoder——这个错误会导致密码编码器Bean无法正常创建，直接引发认证失败。

2. 基于JWT的REST API场景缺失项 #

如果要实现JWT认证，你的configure(HttpSecurity http)方法还需要补充以下配置：

• 关闭表单登录和HTTP Basic认证：REST API用JWT，不需要传统认证方式
• 禁用CSRF保护：REST API是无状态的，CSRF保护没有必要
• 添加JWT过滤器：在UsernamePasswordAuthenticationFilter之前注入自定义JWT认证过滤器，用来解析请求头里的JWT令牌、验证有效性并设置认证信息到SecurityContextHolder
• 配置请求权限规则：明确哪些接口允许匿名访问，哪些需要认证
• 处理未认证/权限不足的响应：返回JSON格式错误信息，而非默认跳转页面

示例补充后的configure方法大致如下：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .csrf(csrf -> csrf.disable())
        .sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
        .authorizeHttpRequests(auth -> auth
            .antMatchers("/api/auth/**").permitAll()
            .anyRequest().authenticated()
        )
        .addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class)
        .exceptionHandling(ex -> ex
            .authenticationEntryPoint((request, response, authException) -> {
                response.setContentType("application/json");
                response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
                response.getWriter().write("{\"error\": \"Unauthorized access\"}");
            })
            .accessDeniedHandler((request, response, accessDeniedException) -> {
                response.setContentType("application/json");
                response.setStatus(HttpServletResponse.SC_FORBIDDEN);
                response.getWriter().write("{\"error\": \"Access denied\"}");
            })
        );
}

另外，你还需要：

• 自定义JwtAuthenticationFilter类，实现从请求头提取JWT、验证令牌、加载用户信息的逻辑
• 编写JWT生成工具类，在用户登录成功后返回有效令牌

3. 简单登录式MVC应用场景缺失项 #

如果是传统登录MVC应用，configure(HttpSecurity http)需要补充：

• 开启表单登录：配置自定义登录页面路径、登录提交接口、成功/失败跳转路径
• 配置注销逻辑：指定注销路径和注销后的跳转页
• 配置请求权限：比如静态资源允许匿名访问，后台接口需要认证
• 可选：配置记住我功能

示例补充后的configure方法：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .csrf(csrf -> csrf.enable()) // MVC应用建议开启CSRF
        .authorizeHttpRequests(auth -> auth
            .antMatchers("/css/**", "/js/**", "/login").permitAll()
            .anyRequest().authenticated()
        )
        .formLogin(form -> form
            .loginPage("/login") // 自定义登录页面路径
            .loginProcessingUrl("/perform_login") // 登录提交接口
            .defaultSuccessUrl("/home", true) // 登录成功跳转页
            .failureUrl("/login?error=true") // 登录失败跳转页
        )
        .logout(logout -> logout
            .logoutUrl("/perform_logout")
            .logoutSuccessUrl("/login?logout=true")
            .invalidateHttpSession(true)
        );
}

另外，你还需要：

• 确保MyCustomUserDetailsService正确实现UserDetailsService的loadUserByUsername方法，能从数据源加载用户信息
• 重写configure(AuthenticationManagerBuilder auth)方法，绑定用户详情服务和密码编码器：

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.userDetailsService(userDetailsService()).passwordEncoder(passwordEncoder());
}

内容的提问来源于stack exchange，提问作者monstereo