SpringBoot：X509双向认证与HTTP Post共存的配置冲突解决

问题根源解析 #

1. POST请求403原因：Spring Security默认启用CSRF保护，非GET/HEAD/OPTIONS类型的请求会强制验证CSRF Token，而REST服务的客户端通常不会携带该Token，导致被拦截。
2. 上下文初始化异常原因：Spring Security 5.7+已废弃WebSecurityConfigurerAdapter，官方推荐使用SecurityFilterChain Bean配置安全规则。同时存在两种配置方式会触发容器冲突，必须二选一。

整合后的完整配置类 #

移除所有继承WebSecurityConfigurerAdapter的旧配置类，使用以下单一配置类实现所有需求：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.CorsConfigurationSource;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;

import java.util.List;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        // 配置X509双向认证
        http.x509(x509 -> x509
                .subjectPrincipalRegex("CN=(.*?)(?:,|$)") // 根据你的证书DN格式调整正则
                .userDetailsService(userDetailsService())
        );

        // 配置CORS规则
        http.cors(cors -> cors.configurationSource(corsConfigurationSource()));

        // 禁用CSRF（REST服务场景下无需CSRF保护）
        http.csrf(csrf -> csrf.disable());

        // 授权规则：所有请求需通过X509认证（可根据业务调整）
        http.authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
        );

        return http.build();
    }

    // 自定义CORS配置（生产环境请替换为具体允许的域名）
    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(List.of("*"));
        configuration.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE", "OPTIONS"));
        configuration.setAllowedHeaders(List.of("*"));
        configuration.setAllowCredentials(true);

        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }

    // X509认证用户信息服务（无需复杂权限可直接使用默认实现）
    @Bean
    public org.springframework.security.core.userdetails.UserDetailsService userDetailsService() {
        return username -> org.springframework.security.core.userdetails.User.withUsername(username)
                .password("") // X509认证无需密码，留空即可
                .roles("USER")
                .build();
    }
}

关键配置说明 #

• X509认证：subjectPrincipalRegex用于从客户端证书的DN字段中提取用户名，需根据你的证书实际格式调整正则表达式；userDetailsService负责将证书用户名映射为系统用户，可自定义实现复杂权限逻辑。
• CORS配置：allowedOrigins在生产环境禁止使用*，需指定具体允许跨域的域名；allowedMethods可根据业务开放对应的HTTP方法。
• CSRF禁用：REST服务面向非浏览器客户端时，CSRF保护无意义，禁用后可解决POST请求403问题。

官方文档指引 #

• X509双向认证：参考Spring Security官方文档「X.509 Authentication」章节，了解证书验证流程、用户映射的详细配置。
• 基于Bean的安全配置：参考「Servlet Security: SecurityFilterChain」章节，学习Spring Security 5.7+推荐的配置方式。
• CORS规则配置：参考「CORS」章节，了解Spring Security如何与Spring MVC的CORS规则整合。
• CSRF保护：参考「Cross Site Request Forgery (CSRF)」章节，明确CSRF保护的适用场景及禁用的注意事项。

内容的提问来源于stack exchange，提问作者PatS