Spring Security 6多登录配置问题：原5.3.x方案失效如何解决？

问题背景 #

在Spring Security 5.3.24中，可通过HttpSecurity同时配置多种登录方案，比如saml2Login以及多个不同loginProcessingUrl的formLogin，各登录方式对应的URL可正常提供服务。但升级至Spring Security 6.1.3后该配置不再生效，需确认功能是否移除或有新的配置方式。

核心结论 #

Spring Security 6.x并未移除多登录方式的支持，只是配置逻辑和API有版本迁移调整，以下是适配6.1.3版本的配置方案：

关键配置调整点 #

• 授权规则API变更：6.x中用authorizeHttpRequests替代了旧版的authorizeRequests，这是必须的迁移项。
• 登录URL放行方式变更：不能再在formLogin的链式调用中直接通过.permitAll()放行登录处理URL，需统一在授权规则中显式放行所有登录相关路径。
• 多登录方式需明确路径匹配：为每个登录方案指定独立的loginProcessingUrl，Spring Security会根据请求路径自动匹配对应的认证过滤器。

适配6.1.3的完整配置示例 #

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        // 配置授权规则
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/index.html", "/static/**").permitAll()
            // 显式放行所有登录处理URL
            .requestMatchers("/app/internal/login/**", "/app/another/login/**", "/saml2/**").permitAll()
            .anyRequest().authenticated()
        )
        // 配置异常处理
        .exceptionHandling(ex -> ex
            .defaultAuthenticationEntryPointFor(loginUrlauthenticationEntryPoint(), new AntPathRequestMatcher("/**"))
        )
        // 第一个formLogin配置，对应独立的登录处理URL
        .formLogin(form1 -> form1
            .loginPage("/index.html")
            .loginProcessingUrl("/app/internal/login/**")
            .successHandler(authenticationSuccessHandler)
            .failureHandler((request, response, exception) -> {
                // 自定义登录失败处理逻辑
            })
        )
        // 第二个formLogin配置，对应另一组登录处理URL
        .formLogin(form2 -> form2
            .loginPage("/index.html")
            .loginProcessingUrl("/app/another/login/**")
            .successHandler(authenticationSuccessHandler)
            .failureHandler((request, response, exception) -> {
                // 自定义登录失败处理逻辑
            })
        )
        // saml2Login配置
        .saml2Login(saml2 -> saml2
            .relyingPartyRegistrationRepository(relyingPartyRegistrationRepository)
            .successHandler(authenticationSuccessHandler)
        );
    return http.build();
}

额外注意事项 #

• 如果存在认证入口不匹配的情况，可检查过滤器执行顺序，或为特定登录方式单独配置authenticationEntryPoint，确保不同请求触发对应登录流程。
• 若使用更复杂的路径匹配规则，可结合AntPathRequestMatcher或MvcRequestMatcher实现更精准的请求路由。

内容的提问来源于stack exchange，提问作者user63868