Spring3 XML配置下REST API的Basic认证自定义实现问题

方案对比与合适选择 #

你的两种方案里，自定义AuthenticationProvider配合BasicAuthenticationFilter才是正确方向。BasicAuthenticationEntryPoint仅用于处理未认证请求的响应（返回401状态码及Realm提示），无法替代请求头解析逻辑，也解决不了authenticate方法拿不到凭证的问题。你之前误用BasicAuthenticationEntryPoint的场景，才导致启动报错。

问题1：authenticate方法无法获取请求头的解决步骤 #

AuthenticationProvider的authenticate方法不直接接收HttpServletRequest，需先通过过滤器解析Authorization头中的Basic认证信息，封装为Authentication对象后再传递给它。具体配置如下：

1. 配置BasicAuthenticationFilter
   在Spring Security XML配置中添加Basic认证过滤器，关联AuthenticationManager和EntryPoint：

<security:http pattern="/api/**" create-session="stateless">
    <!-- 配置Basic认证过滤器，放置在BASIC_AUTH_FILTER位置 -->
    <security:custom-filter ref="basicAuthFilter" position="BASIC_AUTH_FILTER"/>
    <!-- 按需配置API权限规则 -->
    <security:intercept-url pattern="/api/**" access="ROLE_USER"/>
</security:http>

<!-- 定义BasicAuthenticationFilter Bean -->
<bean id="basicAuthFilter" class="org.springframework.security.web.authentication.www.BasicAuthenticationFilter">
    <constructor-arg name="authenticationManager" ref="authenticationManager"/>
    <constructor-arg name="authenticationEntryPoint" ref="basicAuthEntryPoint"/>
</bean>

<!-- 定义自定义BasicAuthenticationEntryPoint Bean -->
<bean id="basicAuthEntryPoint" class="com.yourpackage.CustomBasicAuthenticationEntryPoint"/>

2. 实现自定义BasicAuthenticationEntryPoint
   你之前的继承代码是正确的，只需按上述配置作为独立Bean即可：

public class CustomBasicAuthenticationEntryPoint extends BasicAuthenticationEntryPoint {
    @Override
    public void afterPropertiesSet() throws Exception {
        setRealmName("Spring");
        super.afterPropertiesSet();
    }
}

3. 保留原有的AuthenticationProvider配置
   你之前的authentication-manager配置无需修改：

<security:authentication-manager id="authenticationManager">
    <security:authentication-provider ref="restAuthentication"/>
</security:authentication-manager>

<bean id="restAuthentication" class="com.yourpackage.RestAuthenticationProvider"/>

配置完成后，当Postman发送带有Authorization: Basic <base64(用户名:密码)>的请求时，BasicAuthenticationFilter会自动解析头信息，生成UsernamePasswordAuthenticationToken，传递给AuthenticationManager后转发至你的自定义RestAuthenticationProvider，此时authenticate方法就能通过Authentication参数获取到用户名和密码。

问题2：启动报错的原因与解决 #

你遇到的启动错误，是因为错误地将BasicAuthenticationEntryPoint当作AuthenticationProvider相关Bean配置（比如误将其引用到authentication-provider的ref属性中），导致Spring尝试转换泛型不匹配的集合类型。只需按照上述正确配置，将EntryPoint作为独立Bean配合BasicAuthenticationFilter使用，避免与AuthenticationManager的Provider配置混淆即可解决。

验证 #

在Postman的Authorization选项卡选择Basic Auth，输入用户名和密码，Postman会自动生成Authorization请求头。此时自定义AuthenticationProvider的authenticate方法将接收到包含凭证的UsernamePasswordAuthenticationToken对象，可正常执行认证逻辑。

内容的提问来源于stack exchange，提问作者surm