Spring Security：能否省略DaoAuthenticationProvider的冗余Bean定义？

场景描述 #

我正在使用Spring Security，已定义如下PasswordEncoder Bean：

@Bean
public PasswordEncoder passwordEncoder() {
  return new BCryptPasswordEncoder();
}

同时有一个实现UserDetailsService的服务类：

@Service
public class UserService implements UserDetailsService { //... }

随后手动定义了DaoAuthenticationProvider Bean：

@Bean
public DaoAuthenticationProvider authenticationProvider(UserDetailsService userDetailsService,
    PasswordEncoder passwordEncoder) {
  DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
  authProvider.setUserDetailsService(userDetailsService);
  authProvider.setPasswordEncoder(passwordEncoder);
  return authProvider;
}

该Bean仅通过容器中默认的PasswordEncoder和UserDetailsService实例构建DaoAuthenticationProvider，逻辑非常简单。我使用的是Basic Auth，对应的安全过滤器链配置如下：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
  http.authorizeRequests().anyRequest().authenticated().and().httpBasic();
  return http.build();
}

问题 #

是否有办法避免这种冗余的DaoAuthenticationProvider定义，或者该定义是必须的？

解答 #

可以完全省略这个自定义的DaoAuthenticationProvider Bean，Spring Security会自动完成相关配置，原因如下：

• 自动配置机制生效：当Spring容器中存在UserDetailsService和PasswordEncoder的Bean时，Spring Security的自动配置模块会自动创建DaoAuthenticationProvider实例，并自动注入这两个依赖Bean，无需手动编码。
• Basic Auth适配自动配置：你使用的Basic Auth对应的BasicAuthenticationFilter会自动使用Spring Security自动配置的AuthenticationManager，而该AuthenticationManager已包含自动配置好的DaoAuthenticationProvider，完全满足你的简单认证需求。
• 验证方式：直接删除自定义的DaoAuthenticationProvider Bean后，启动应用进行Basic Auth登录测试，认证逻辑会正常运行——密码会通过你定义的BCryptPasswordEncoder校验，用户信息会从UserService中加载。

总结：对于你的Basic Auth简单场景，手动定义DaoAuthenticationProvider属于冗余操作，完全可以省略。

内容的提问来源于stack exchange，提问作者italktothewind