Spring Security 6为何移除@EnableWebSecurity中的@Configuration注解？

1. Spring框架注解能力的升级 #

Spring 5.2+版本对配置类的处理逻辑做了优化：只要类被Spring配置机制识别（比如通过@Import导入、被组件扫描覆盖），哪怕没有标注@Configuration，类中的@Bean方法也能被正常处理（即「lite配置类」模式）。

而@EnableWebSecurity本身通过@Import导入了Web安全核心配置组件，所以不再需要自身标注@Configuration来让被注解的类成为配置类——Spring会自动识别并处理类中的配置逻辑。

2. 注解职责的单一化 #

早期@EnableWebSecurity标注@Configuration，是为了同时完成「启用Web安全」和「标识配置类」两个职责。Spring Security 6做了职责拆分：

• @EnableWebSecurity的核心职责回归为启用Web安全功能、导入必要的安全配置组件
• 「标识配置类」的职责由Spring框架的自动机制处理，用户也可以根据需要自行在类上添加@Configuration（非强制）

这种拆分让注解语义更清晰，符合单一职责原则。

3. 适配Spring Boot轻量化配置趋势 #

Spring Security 6进一步贴合Spring Boot的自动配置理念，减少冗余注解。现在用户只需要在自定义安全配置类上标注@EnableWebSecurity，就能开启完整的Web安全配置，无需额外添加@Configuration，简化了配置代码的写法。

4. @Enable*注解的生态统一规范 #

Spring生态内的@Enable*注解正在逐步统一设计：去掉不必要的@Configuration元注解，让这类注解只专注于「启用功能并导入对应配置」的核心作用，避免元注解冗余，同时统一开发者的使用体验。

内容的提问来源于stack exchange，提问作者Isuru Perera