Spring Security内存认证与OAuth2登录共存问题求助

问题核心原因 #

你当前配置存在两个关键问题：

• formLogin 和 oauth2Login 共用了同一个 loginProcessingUrl("/process-login")，Spring Security无法区分请求类型，会优先走OAuth2认证流程，直接忽略表单登录的内存认证逻辑。
• 使用 AuthenticationManagerBuilder 配置内存用户的方式，在Spring Security 5+版本中优先级较低，当存在OAuth2配置时容易被覆盖。

具体修复步骤 #

1. 拆分登录处理路径
   给表单登录和OAuth2登录设置不同的loginProcessingUrl，避免请求冲突。

2. 改用UserDetailsService配置内存用户
   这是Spring Security 5+推荐的用户配置方式，能确保认证提供者被正确注册，不会被其他认证流程覆盖。

修改后的代码示例 #

1. 配置内存用户的UserDetailsService Bean

import org.springframework.security.core.userdetails.User
import org.springframework.security.core.userdetails.UserDetailsService
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder
import org.springframework.context.annotation.Bean
import org.springframework.context.annotation.Configuration

@Configuration
class UserConfig {
    @Bean
    fun userDetailsService(): UserDetailsService {
        val encoder = BCryptPasswordEncoder()
        val adminUser = User.withUsername("admin")
            .password(encoder.encode("abc"))
            .roles("Admin")
            .authorities("ROLE_Admin")
            .build()
        return UserDetailsService { username ->
            if (username == "admin") adminUser else null
        }
    }

    @Bean
    fun passwordEncoder() = BCryptPasswordEncoder()
}

2. 调整SecurityFilterChain配置

import org.springframework.security.config.annotation.web.builders.HttpSecurity
import org.springframework.security.web.SecurityFilterChain
import org.springframework.context.annotation.Bean
import org.springframework.context.annotation.Configuration

@Configuration
class SecurityConfig {
    @Bean
    fun securityFilterChain(http: HttpSecurity): SecurityFilterChain {
        return http.csrf().disable()
            .authorizeRequests()
            .antMatchers("/", "/login").permitAll()
            .antMatchers("/oauth2/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin()
                .loginPage("/login")
                .loginProcessingUrl("/process-form-login") // 表单登录专属路径
                .failureUrl("/login?error=true")
                .permitAll()
            .and()
            .oauth2Login()
                .loginPage("/login")
                // OAuth2无需手动设置loginProcessingUrl，默认会用/oauth2/authorization/{clientId}
                .failureUrl("/login?error=true")
                .permitAll()
            .and()
            .logout()
                .logoutSuccessUrl("/login")
                .invalidateHttpSession(true)
                .deleteCookies("JSESSIONID")
                .permitAll()
            .and()
            .build()
    }
}

额外注意事项 #

• 自定义登录页的表单提交地址要改成 /process-form-login，比如表单的action="/process-form-login"。
• OAuth2的授权链接无需手动处理，Spring Security会自动生成类似 /oauth2/authorization/google 的端点，你只需要在登录页添加指向该端点的链接即可。

内容的提问来源于stack exchange，提问作者Anthone