Spring Security 6 网关微服务Swagger端点安全配置求助

安全阿岳

2026-7-24

问题原因及解决方案

你的核心问题是WebFlux环境下误用了Servlet版的用户服务Bean：Spring Security 6在WebFlux网关中，需要的是ReactiveUserDetailsService而非Servlet环境的UserDetailsService。你定义的UserDetailsService不会被WebFlux的Security机制识别，因此框架会自动生成默认用户，也就是日志里的随机密码。

修复步骤

1. 替换用户服务为Reactive版本

修改SecurityConfig中的用户服务Bean，改用InMemoryReactiveUserDetailsManager（WebFlux对应的内存用户管理实现）：

@Configuration
@EnableWebFluxSecurity
public class SecurityConfig {
    @Bean
    public SecurityWebFilterChain filterChain(ServerHttpSecurity httpSecurity) throws Exception {
        return httpSecurity.csrf().disable()
                .authorizeExchange(exchanges -> exchanges
                        .pathMatchers("/api/**").permitAll()
                        .pathMatchers("/webjars/swagger-ui/**", "/swagger-ui/**", "/swagger-ui.html", "/v3/api-docs/**").authenticated()
                )
                .httpBasic(withDefaults())
                .build();
    }

    @Bean
    public ReactiveUserDetailsManager userDetailsService() {
        UserDetails user = User.builder()
                .username("user1")
                .password(passwordEncoder().encode("password"))
                .roles("USER")
                .build();
        return new InMemoryReactiveUserDetailsManager(user);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

2. 关键调整说明

将UserDetailsService替换为ReactiveUserDetailsManager（ReactiveUserDetailsService的子接口），适配WebFlux的响应式环境。
优化authorizeExchange的链式写法，更符合Spring Security 6的风格。
额外添加了/v3/api-docs/**的权限控制（如果你的Swagger需要加载API文档，这个端点也需要保护，可根据实际情况调整）。