Spring Security普通用户与管理员多登录配置失效问题求助

核心问题点 #

1. AdminConfig过滤器链优先级过高且范围错误：@Order(1)的AdminConfig中，原配置的requestMatchers("/**").permitAll()会拦截所有请求并直接放行，导致普通用户的过滤器链（@Order(2)）完全无法生效，登录逻辑被覆盖。
2. AdminConfig缺少认证核心组件：未配置UserDetailsService和PasswordEncoder，导致管理员登录时无法获取用户信息、验证密码，认证流程断裂。
3. 配置结构混乱：多次拆分调用authorizeHttpRequests()，导致规则覆盖；普通用户配置中存在大量重复的路径放行规则，且最后anyRequest().fullyAuthenticated()与前面的/** permitAll规则冲突。

修复后的配置代码 #

管理员配置类（AdminConfig）

@Configuration
@Order(1)
public class AdminConfig {

    private final UserDetailsService userDetailsService;
    private final BCryptPasswordEncoder passwordEncoder;

    // 注入共享的用户详情服务和密码编码器（若管理员用户单独存储，可替换为对应实现）
    public AdminConfig(UserDetailsService userDetailsService, BCryptPasswordEncoder passwordEncoder) {
        this.userDetailsService = userDetailsService;
        this.passwordEncoder = passwordEncoder;
    }

    @Bean
    protected SecurityFilterChain filterChain2(HttpSecurity http) throws Exception {
        http
            // 限定此过滤器链仅处理/admin开头的请求
            .requestMatcher("/admin/**")
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/admin/login").permitAll() // 管理员登录页放行
                .requestMatchers("/admin/**").hasRole("ADMIN") // admin路径需ADMIN角色
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/admin/login")
                .loginProcessingUrl("/admin/doAdminLogin")
                .defaultSuccessUrl("/admin/adminDashboard")
                .permitAll()
            )
            .logout(logout -> logout
                .logoutUrl("/admin/logout")
                .logoutSuccessUrl("/")
                .permitAll()
            )
            .csrf().disable();

        // 配置认证管理器
        http.authenticationManager(authenticationManager(http));

        return http.build();
    }

    private AuthenticationManager authenticationManager(HttpSecurity http) throws Exception {
        AuthenticationManagerBuilder auth = http.getSharedObject(AuthenticationManagerBuilder.class);
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder);
        return auth.build();
    }
}

普通用户配置类（Config）

@Configuration
@EnableWebSecurity
@Order(2)
public class Config {

    @Bean
    public UserDetailsService getUserDetailsService() {
        return new UserDetailsServiceImpl();
    }

    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public DaoAuthenticationProvider authenticationProvider() {
        DaoAuthenticationProvider daoAuthenticationProvider = new DaoAuthenticationProvider();
        daoAuthenticationProvider.setUserDetailsService(this.getUserDetailsService());
        daoAuthenticationProvider.setPasswordEncoder(passwordEncoder());
        return daoAuthenticationProvider;
    }

    @Bean
    protected SecurityFilterChain filterChain1(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                // 合并重复的放行路径，确保具体路径优先匹配
                .requestMatchers("/registration/**", "/signup/**", "/signin", "/user/plandetails", "/user/checkout").permitAll()
                .requestMatchers("/user/**").hasRole("USER")
                .anyRequest().permitAll() // 剩余未匹配请求放行
            )
            .formLogin(form -> form
                .loginPage("/signin")
                .loginProcessingUrl("/dologin")
                .defaultSuccessUrl("/user/dashboard")
                .permitAll()
            )
            .rememberMe(remember -> remember
                .userDetailsService(getUserDetailsService())
            )
            .csrf().disable();

        http.authenticationManager(authenticationManager(http));

        return http.build();
    }

    private AuthenticationManager authenticationManager(HttpSecurity http) throws Exception {
        AuthenticationManagerBuilder auth = http.getSharedObject(AuthenticationManagerBuilder.class);
        auth.authenticationProvider(authenticationProvider());
        return auth.build();
    }
}

修复说明 #

1. 过滤器链范围拆分：给AdminConfig添加.requestMatcher("/admin/**")，让其仅处理管理员相关请求，普通请求自动流转到Order2的用户过滤器链，避免规则覆盖。
2. 补充认证组件：AdminConfig注入用户详情服务和密码编码器，确保管理员登录时能正常完成用户信息查询与密码校验。
3. 规范配置结构：使用链式调用替代多次拆分的authorizeHttpRequests()，合并重复路径规则，调整规则顺序（具体路径优先于通配符），避免规则冲突。

内容的提问来源于stack exchange，提问作者Ravi