同时使用Basic Auth与Bearer Auth保护Spring Boot REST API

在Spring Boot中同时为同一API启用两种认证方式时，常见问题根源在于Spring Security过滤器链优先级冲突或认证提供者配置不全——默认情况下，单一认证的过滤器会优先拦截请求，导致另一种认证方式无法触发。以下是具体的解决思路和实现方案：

核心问题分析 #

单独使用时正常，同时启用出问题，通常是这两个原因：

• 未配置多个AuthenticationProvider，Security只会尝试一种认证逻辑
• 过滤器顺序或请求匹配规则不合理，导致某一种认证过滤器先拦截请求并返回失败，未触发另一种认证流程

解决方案1：自定义多认证提供者与过滤器分流 #

适合需要自定义认证逻辑的场景，比如自定义JWT解析：

1. 配置SecurityFilterChain与多认证提供者 #

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    private final JwtAuthenticationProvider jwtAuthProvider;
    private final DaoAuthenticationProvider basicAuthProvider;

    public SecurityConfig(JwtAuthenticationProvider jwtAuthProvider, 
                          DaoAuthenticationProvider basicAuthProvider) {
        this.jwtAuthProvider = jwtAuthProvider;
        this.basicAuthProvider = basicAuthProvider;
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .csrf(csrf -> csrf.disable()) // REST API通常禁用CSRF
            .httpBasic(Customizer.withDefaults()) // 启用Basic Auth支持
            .addFilterBefore(jwtAuthFilter(), UsernamePasswordAuthenticationFilter.class) // 添加JWT过滤器
            .authenticationManager(authManager());

        return http.build();
    }

    // 配置AuthenticationManager，同时支持两种认证提供者
    @Bean
    public AuthenticationManager authManager() {
        return new ProviderManager(Arrays.asList(basicAuthProvider, jwtAuthProvider));
    }

    // 自定义JWT过滤器，仅处理带Bearer Token的请求
    private JwtAuthenticationFilter jwtAuthFilter() {
        JwtAuthenticationFilter filter = new JwtAuthenticationFilter();
        filter.setAuthenticationManager(authManager());
        // 设置请求匹配规则：只处理Authorization头以Bearer开头的请求
        filter.setRequiresAuthenticationRequestMatcher(request -> {
            String authHeader = request.getHeader(HttpHeaders.AUTHORIZATION);
            return authHeader != null && authHeader.startsWith("Bearer ");
        });
        return filter;
    }
}

2. 关键注意点 #

• 确保AuthenticationManager包含两种认证提供者，Security会依次尝试两种认证逻辑
• 为Bearer Token过滤器设置严格的请求匹配规则，避免和Basic Auth过滤器冲突
• 自定义JwtAuthenticationFilter时，需正确解析Token并生成AuthenticationToken对象

解决方案2：利用OAuth2 Resource Server快速实现 #

如果你的Bearer Token是标准JWT，推荐使用Spring Security的OAuth2 Resource Server模块，无需自定义过滤器：

1. 引入依赖（Maven） #

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>

2. 简化Security配置 #

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .csrf(csrf -> csrf.disable())
            .httpBasic(Customizer.withDefaults()) // 启用Basic Auth
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults())); // 启用JWT Bearer认证

        return http.build();
    }
}

3. 配置文件添加JWT参数 #

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: https://your-jwt-issuer.com # 替换为你的JWT发行方地址

这种方式下，Spring Security会自动根据请求头判断：

• 若请求头为Authorization: Basic xxx，则使用Basic Auth认证
• 若请求头为Authorization: Bearer xxx，则使用JWT认证

常见排查点 #

如果仍有问题，检查以下内容：

• 依赖是否完整，比如OAuth2 Resource Server依赖是否正确引入
• 自定义过滤器的顺序是否正确，避免拦截了其他认证流程
• 认证提供者是否正确实现，比如JWT的签名密钥是否配置正确
• 是否有其他自定义Security配置类冲突，导致配置未生效

内容的提问来源于stack exchange，提问作者Anas Elazhar