Spring Security 6：自定义UsernamePasswordAuthenticationFilter的SecurityContextRepository配置

问题1：你的观察是否正确？ #

没错。Spring Security 6.0里，UsernamePasswordAuthenticationFilter继承自AbstractAuthenticationProcessingFilter，这个父类自身持有securityContextRepository属性。当你在自定义过滤器内部通过@PostConstruct显式设置该属性后，过滤器会优先使用自己配置的实例，完全忽略SecurityFilterChain中的全局配置。这是因为单个过滤器的局部配置优先级高于全局链式配置。

问题2：要不要把SecurityContextRepository定义成Bean？ #

必须要。把它定义为Spring Bean有这些实际好处：

• 保证实例单例，避免重复创建对象造成资源浪费
• 方便Spring容器统一管理，还能注入到其他需要的组件中（比如登出过滤器、自定义权限处理器等）
• 符合Spring的设计规范，后续测试和维护都会更省心

问题3：有没有必要同时在SecurityFilterChain里配置这个Bean？ #

分两种情况来看：

• 要是只有自定义的UsernamePasswordAuthenticationFilter需要使用这个仓库，且已经在过滤器内部配置完成，那完全没必要在SecurityFilterChain里重复配置。
• 但如果希望整个安全链中的所有过滤器都共用同一个SecurityContextRepository（比如登出操作、其他自定义认证过滤器也需要持久化上下文），那一定要在SecurityFilterChain中配置。全局配置能保证所有安全组件的上下文处理逻辑一致，避免出现不同过滤器使用不同仓库导致的状态混乱问题。

内容的提问来源于stack exchange，提问作者Slevin