Spring Security原理疑问：自定义命名@Bean方法为何能被执行？

你的核心疑问本质是Spring的Bean机制和Spring Security的自动配置在起作用，拆解来说：

• @Bean注解是关键触发器
  方法上的@Bean注解告诉Spring：执行这个方法，把返回的对象注册到Spring容器里当Bean用。Spring根本不关心方法叫strangeNaming还是别的名字，方法名只是这个Bean的默认别名（你甚至可以用@Bean("customFilterChain")指定别名），核心是返回值的类型和@Bean注解本身。

• Spring Security按类型查找配置Bean
  因为你加了@EnableWebFluxSecurity，在WebFlux安全场景下，Spring Security会自动在容器中寻找类型为SecurityWebFilterChain的Bean——这个Bean就是整个安全过滤规则的核心配置。不管你的方法叫什么，只要返回的是这个类型且被@Bean标记，Spring Security就会加载它，替代默认的安全配置。

• 参数ServerHttpSecurity是Spring自动注入的
  你方法里的http: ServerHttpSecurity参数，是Spring通过依赖注入自动传进来的，这是@EnableWebFluxSecurity触发的自动配置的一部分——它帮你创建了这个基础配置对象，你只需要在方法里对它做自定义配置（比如设置授权规则、异常处理），最后返回构建好的SecurityWebFilterChain就行。

• 不需要继承重写的原因
  这是Spring Security 5+之后推荐的「Bean驱动配置」方式，替代了旧版本继承WebSecurityConfigurerAdapter的写法。WebFlux环境下的安全配置完全基于Bean，你不需要继承任何类，只需要提供符合要求的Bean，Spring就会自动识别并生效。

哪怕你把方法改成下面这样，依然能正常工作：

@Bean
fun whateverNameYouLike(http: ServerHttpSecurity): SecurityWebFilterChain {
    // 同样的配置逻辑
}

内容的提问来源于stack exchange，提问作者1mm.p