迁移至Spring Security 6：类库中多授权/安全过滤器实现方案

1. 是否可沿用类似原方式配置认证？ #

可以，但需要调整实现形式，核心认证逻辑（如UserDetailsService、PasswordEncoder）完全可以保留，重点是避免全局Bean冲突：

• 不要将业务/端点专属的UserDetailsService注册为全局@Bean，而是在对应SecurityFilterChain内部定义使用，保证不同认证体系独立；
• 通过AuthenticationManagerBuilder为每个安全链单独配置认证规则，替代原继承重写的方式。

示例代码：

@Bean
public SecurityFilterChain actuatorSecurityFilterChain(HttpSecurity http) throws Exception {
    http
        .securityMatcher("/actuator/**")
        .authorizeHttpRequests(auth -> auth
            .anyRequest().hasRole("ACTUATOR_ADMIN")
        )
        .httpBasic(withDefaults());

    // 为当前安全链配置专属认证
    AuthenticationManagerBuilder authBuilder = http.getSharedObject(AuthenticationManagerBuilder.class);
    authBuilder.userDetailsService(actuatorUserDetailsService()).passwordEncoder(passwordEncoder());
    return http.build();
}

// 仅在当前安全链内部使用，不注册为全局Bean
private UserDetailsService actuatorUserDetailsService() {
    return new InMemoryUserDetailsManager(
        User.withUsername("actuator")
            .password(passwordEncoder().encode("admin123"))
            .roles("ACTUATOR_ADMIN")
            .build()
    );
}

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

2. 是否能通过Bean或类似旧方法配置HttpSecurity？ #

完全可以，这也是Spring Security 6（Spring Boot 3配套版本）官方推荐的标准方式：

• 通过@Bean定义多个SecurityFilterChain实例，每个实例通过securityMatcher()指定拦截路径，实现原多WebSecurityConfigurerAdapter的独立配置效果；
• 每个SecurityFilterChain内部直接操作HttpSecurity对象，配置授权、认证、CSRF等规则，逻辑和原重写configure(HttpSecurity)方法完全一致。

示例：同时配置Actuator和Prometheus独立安全规则

// Actuator通用端点安全链
@Bean
public SecurityFilterChain actuatorSecurityFilterChain(HttpSecurity http) throws Exception {
    http
        .securityMatcher("/actuator/**")
        .csrf(csrf -> csrf.disable())
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/actuator/health").permitAll()
            .anyRequest().hasAuthority("ACTUATOR_ACCESS")
        )
        .httpBasic(withDefaults());
    configureActuatorAuth(http);
    return http.build();
}

// Prometheus专属端点安全链
@Bean
public SecurityFilterChain prometheusSecurityFilterChain(HttpSecurity http) throws Exception {
    http
        .securityMatcher("/actuator/prometheus")
        .csrf(csrf -> csrf.disable())
        .authorizeHttpRequests(auth -> auth
            .anyRequest().hasAuthority("PROMETHEUS_ACCESS")
        )
        .httpBasic(withDefaults());
    configurePrometheusAuth(http);
    return http.build();
}

private void configureActuatorAuth(HttpSecurity http) throws Exception {
    AuthenticationManagerBuilder auth = http.getSharedObject(AuthenticationManagerBuilder.class);
    auth.userDetailsService(actuatorUserDetailsService()).passwordEncoder(passwordEncoder());
}

private void configurePrometheusAuth(HttpSecurity http) throws Exception {
    AuthenticationManagerBuilder auth = http.getSharedObject(AuthenticationManagerBuilder.class);
    auth.userDetailsService(prometheusUserDetailsService()).passwordEncoder(passwordEncoder());
}

3. 当前迁移思路是否存在根本性问题？ #

你的迁移思路存在两个核心误区，这也是导致问题的根源：

1. 错误暴露全局UserDetailsService Bean：一旦将UserDetailsService注册为全局Bean，Spring Security会自动将其作为默认认证数据源，导致所有SecurityFilterChain强制复用该实例，无法实现独立配置。正确做法是仅在需要的安全链内部定义专属认证服务，或通过@Qualifier精准注入。
2. 滥用@Primary标记AuthenticationManager：不需要全局@Primary的AuthenticationManager，每个SecurityFilterChain可通过http.getSharedObject(AuthenticationManagerBuilder.class)构建专属认证管理器，强制全局@Primary极易引发循环依赖，进而导致StackOverflow异常。

额外注意：Spring Security 6默认开启CSRF保护，Actuator这类后端接口需手动关闭，否则POST请求会被拦截。

内容的提问来源于stack exchange，提问作者Fabian Bienz