Spring Security 6多安全配置：仅指定端点启用Basic Auth

你当前的问题根源在于全局启用了httpBasic过滤器，导致所有请求（包括/test这类不需要Basic Auth的端点）都会经过Basic Auth过滤器处理。要实现仅/oauth/token用Basic Auth、其余端点无视Basic请求头的需求，最简洁的方式是配置多个SecurityFilterChain，分别对应不同的路径规则：

具体实现代码 #

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configurers.AbstractHttpConfigurer;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.web.util.matcher.AntPathRequestMatcher;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    // 第一个过滤器链：仅处理/oauth/token，启用Basic Auth
    @Bean
    public SecurityFilterChain oauthTokenSecurityFilterChain(HttpSecurity http) throws Exception {
        http
                .securityMatcher(new AntPathRequestMatcher("/oauth/token"))
                .csrf(AbstractHttpConfigurer::disable)
                .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
                .httpBasic(); // 仅在这个链启用Basic Auth

        return http.build();
    }

    // 第二个过滤器链：处理所有其他请求，不启用Basic Auth
    @Bean
    public SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http) throws Exception {
        http
                .csrf(AbstractHttpConfigurer::disable)
                .authorizeHttpRequests(auth -> auth.anyRequest().permitAll())
                // 这里后续可以添加Bearer Auth的配置，比如.oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()))
                .httpBasic(AbstractHttpConfigurer::disable); // 显式禁用Basic Auth，确保不会处理Basic请求头

        return http.build();
    }
}

关键说明 #

• 多过滤器链的优先级：Spring Security会按照SecurityFilterChain的注册顺序（或通过@Order注解指定）匹配请求，第一个链匹配/oauth/token路径后，就不会进入第二个链处理。
• 显式禁用Basic Auth：在默认过滤器链中通过httpBasic(AbstractHttpConfigurer::disable)完全关闭Basic Auth过滤器，这样即使请求携带Authorization: Basic xxx头，也不会被处理。
• 后续扩展Bearer Auth：在默认过滤器链中可以添加oauth2ResourceServer配置来启用Bearer认证，替换掉permitAll规则即可。

内容的提问来源于stack exchange，提问作者SledgeHammer