Spring Boot 3认证配置报错：authenticationManagerBuilder Bean重复定义

原因分析 #

1. AuthenticationManagerBuilder不能直接声明为@Bean
   Spring Security内部已经自动创建并管理了AuthenticationManagerBuilder的实例，你手动把它注册为Bean，就会和框架内部的Bean实例重复，直接触发启动时的Bean重复定义错误。

2. 配置逻辑的本质变化
   原来通过WebSecurityConfigurerAdapter重写configure(AuthenticationManagerBuilder)，是框架通过回调的方式让你配置认证规则；移除Adapter后，正确的思路是直接构建并注册最终的认证管理器（AuthenticationManager），或者通过配置认证提供者（AuthenticationProvider）来整合认证逻辑，而不是去注册构建器本身。

正确配置方式 #

场景1：基础认证（内存/数据库用户） #

通过AuthenticationConfiguration获取已配置好的AuthenticationManager，框架会自动整合UserDetailsService和PasswordEncoder：

@Configuration
public class SecurityConfig {

    // 示例：内存用户详情（实际项目可替换为数据库实现）
    @Bean
    public UserDetailsService userDetailsService() {
        UserDetails user = User.withUsername("user")
                .password("{bcrypt}$2a$10$Z8g7W3k5yU6xV2m1n9b8v7c6d5s4a3f2g1h0j9k8l7m6n5b4v3") // 替换为BCrypt加密后的密码
                .roles("USER")
                .build();
        return new InMemoryUserDetailsManager(user);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    // 注册AuthenticationManager Bean
    @Bean
    public AuthenticationManager authenticationManager(AuthenticationConfiguration authConfig) throws Exception {
        return authConfig.getAuthenticationManager();
    }
}

场景2：自定义认证逻辑 #

如果需要自定义认证规则（比如自定义用户校验逻辑），可以直接注册AuthenticationProvider，并在SecurityFilterChain中配置：

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(auth -> auth
                        .anyRequest().authenticated()
                )
                .formLogin(form -> form.permitAll())
                // 配置自定义认证提供者
                .authenticationProvider(customAuthenticationProvider());
        
        return http.build();
    }

    @Bean
    public AuthenticationProvider customAuthenticationProvider() {
        DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
        authProvider.setUserDetailsService(customUserDetailsService());
        authProvider.setPasswordEncoder(passwordEncoder());
        return authProvider;
    }

    // 自定义UserDetailsService（从数据库/其他数据源获取用户）
    @Bean
    public UserDetailsService customUserDetailsService() {
        return username -> {
            // 这里替换为实际的用户查询逻辑
            if ("admin".equals(username)) {
                return User.withUsername("admin")
                        .password("{bcrypt}$2a$10$A9s8d7f6g5h4j3k2l1m0n9b8v7c6d5s4a3f2g1h0")
                        .roles("ADMIN")
                        .build();
            }
            throw new UsernameNotFoundException("用户不存在");
        };
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

总结 #

• 禁止把AuthenticationManagerBuilder注册为@Bean，它是框架内部的构建工具，不需要手动管理
• 优先通过AuthenticationConfiguration获取AuthenticationManager，或者直接配置AuthenticationProvider整合认证逻辑
• 所有认证相关的组件（UserDetailsService、PasswordEncoder等）单独注册为@Bean，让Spring Security自动完成整合

内容的提问来源于stack exchange，提问作者Ahad Porkar