如何为Spring Authorization Server切换HTTP Basic登录？弹窗反复问题排查

你的配置问题出在授权服务器的SecurityFilterChain（Order(1)）没有启用HTTP Basic认证支持，同时BasicAuthenticationEntryPoint缺少必要的realm配置，导致认证成功后授权服务器端点仍无法识别已认证状态，反复触发登录弹窗。

修正后的配置： #

@Configuration
public class SecurityConfig {

    @Bean
    @Order(1)
    public SecurityFilterChain authServer(HttpSecurity http) throws Exception {
        OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);
        http.getConfigurer(OAuth2AuthorizationServerConfigurer.class).oidc(Customizer.withDefaults());
        
        // 启用HTTP Basic认证，让授权服务器端点能处理Basic凭证
        http.httpBasic(Customizer.withDefaults());
        
        // 配置带realm的BasicAuthenticationEntryPoint
        http.exceptionHandling(e -> e.authenticationEntryPoint(basicAuthenticationEntryPoint()));
        
        return http.build();
    }

    @Bean
    @Order(2)
    public SecurityFilterChain defaultChain(HttpSecurity http) throws Exception {
        return http.authorizeHttpRequests(authorize -> authorize.anyRequest().authenticated())
                .httpBasic(Customizer.withDefaults())
                .formLogin(f -> f.disable())
                .build();
    }

    // 配置BasicAuthenticationEntryPoint的realm名称
    @Bean
    public BasicAuthenticationEntryPoint basicAuthenticationEntryPoint() {
        BasicAuthenticationEntryPoint entryPoint = new BasicAuthenticationEntryPoint();
        entryPoint.setRealmName("OAuth2 Authorization Server");
        return entryPoint;
    }
}

关键修正点说明： #

• 在authServer链中添加http.httpBasic(Customizer.withDefaults())：授权服务器的端点（如/oauth2/authorize）需要验证用户身份，这个配置让该链能解析HTTP Basic头中的凭证并完成认证，否则即使输入了账号密码，授权服务器也无法识别已认证状态，会再次触发登录弹窗。
• 为BasicAuthenticationEntryPoint设置realmName：这是HTTP Basic认证的规范要求，缺少该配置可能导致部分浏览器无法正确保存认证会话，引发重复弹窗。

内容的提问来源于stack exchange，提问作者ovnia