Spring 3迁移后WebSecurityConfig循环依赖问题求助

一、先揪出循环依赖的具体链路 #

Spring启动报错时，日志里肯定会打印循环依赖的完整调用链，比如包含Circular reference involving bean的条目，里面会明确列出是WebSecurityConfig和哪个/哪些Bean互相嵌套依赖，比如WebSecurityConfig→UserService→WebSecurityConfig这种。先把这个链路找出来，这是解决问题的核心前提。

二、@Lazy的精准添加位置 #

别瞎加，跟着循环链路来：

• 如果是WebSecurityConfig初始化时依赖了某个Service，而这个Service又反过来依赖WebSecurityConfig里的Bean（比如AuthenticationManager）：
  把@Lazy加在WebSecurityConfig中注入该Service的位置，示例：

  @Configuration
  public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
      // 给依赖的Service加@Lazy
      @Autowired
      @Lazy
      private UserService userService;
  
      // 或者在方法注入参数上加
      @Bean
      public AuthenticationProvider authenticationProvider(@Lazy UserService userService) {
          // ...
      }
  }
  

• 如果是其他Bean依赖WebSecurityConfig里的Bean，同时WebSecurityConfig又依赖这个Bean：
  把@Lazy加在该Bean注入WebSecurityConfig相关Bean的位置，示例：

  @Service
  public class UserService {
      @Autowired
      @Lazy
      private AuthenticationManager authenticationManager;
  }
  

三、从Spring 3的特性变化挖根因 #

Spring 3对Bean创建流程做了调整，尤其是WebSecurity相关Bean的初始化逻辑：

• 检查WebSecurityConfig是不是用了构造方法注入依赖——Spring 3中构造方法注入默认是严格模式，相比Spring 2更容易触发循环依赖，换成字段注入或setter注入试试
• 检查自定义的AuthenticationManager、UserDetailsService等Bean，这些Bean和WebSecurityConfig的依赖关系在Spring 3中可能和Spring 2不同，比如WebSecurityConfigurerAdapter的authenticationManager()方法返回的Bean可能被提前引用了

四、不用@Lazy的替代方案 #

如果不想依赖懒加载，可以重构打破循环：

• 把循环依赖里的公共逻辑抽成独立Bean，让原来互相依赖的两个Bean都依赖这个新Bean
• 用@DependsOn指定Bean的初始化顺序，但这个要谨慎使用，容易引发其他连锁问题

内容的提问来源于stack exchange，提问作者ksernow