Spring自动配置向已有UserDetailsService加用户引发401认证异常

具体修复方案 #

1. 消除UserDetailsService Bean重复 #

把自动配置中修改UserDetailsManager的逻辑换成BeanPostProcessor，只修改现有Bean而非创建新实例：

@Configuration
@EnableConfigurationProperties(Props::class)
@ConditionalOnProperty(prefix = Props.PROPERTY_PREFIX, name = ["securityEnabled"])
@ConditionalOnWebApplication(type = SERVLET)
open class ActuatorSecurityAutoConfiguration(private val props: Props) {

    // 保留原passwordEncoder、defaultActuatorUserDetailsManager方法

    // 替换原actuatorUserDetailsManager方法，用BeanPostProcessor修改已有UserDetailsManager
    @Bean
    @ConditionalOnBean(UserDetailsManager::class)
    open fun actuatorUserDetailsPostProcessor(passwordEncoder: PasswordEncoder): BeanPostProcessor {
        return object : BeanPostProcessor {
            override fun postProcessAfterInitialization(bean: Any, beanName: String): Any? {
                if (bean is UserDetailsManager) {
                    val actuatorUser = User.withUsername(props.username)
                        .password(props.password)
                        .passwordEncoder(passwordEncoder::encode)
                        .roles(ACTUATOR_USER_ROLE)
                        .build()
                    // 避免重复添加用户
                    try {
                        bean.loadUserByUsername(props.username)
                    } catch (e: UsernameNotFoundException) {
                        bean.createUser(actuatorUser)
                    }
                }
                return bean
            }
        }
    }

    // 调整SecurityFilterChain的Order
    @Bean
    @Throws(Exception::class)
    @Order(50) // 优先级高于应用默认链（默认MAX_VALUE），低于应用的/secure_endpoint链（@Order(1)）
    open fun actuatorSecurityFilterChain(httpSecurity: HttpSecurity): SecurityFilterChain {
        httpSecurity
            .antMatcher("/actuator/**")
            .authorizeHttpRequests {
                it.antMatchers("/actuator/info", "/actuator/health").permitAll()
                    .antMatchers(HttpMethod.OPTIONS).permitAll()
                    .anyRequest().hasRole(ACTUATOR_USER_ROLE)
            }
            .headers().disable()
            .csrf().disable()
            .httpBasic()

        return httpSecurity.build()
    }
}

这样只会修改已有的UserDetailsManager实例，不会新增Bean，彻底解决多实例冲突。

2. 确保SecurityFilterChain优先级生效 #

给actuator的SecurityFilterChain设置@Order(50)，这个数值低于应用的/secure_endpoint链（@Order(1)），但高于应用的默认链（默认Ordered.LOWEST_PRECEDENCE即Integer.MAX_VALUE），确保/actuator/**请求优先被actuator的安全规则处理，不会被默认的permitAll覆盖。

3. 统一密码编码逻辑 #

• 如果props.password是明文：自动配置中passwordEncoder::encode的逻辑和应用一致，无需修改；
• 如果props.password是已加密的字符串：去掉自动配置中的passwordEncoder::encode，直接使用加密后的密码：

val actuatorUser = User.withUsername(props.username)
    .password(props.password) // 已加密，无需再次编码
    .roles(ACTUATOR_USER_ROLE)
    .build()

4. 应用端配置校验 #

确认应用的SecurityConfiguration中：

• securityFilterChain仅作用于/secure_endpoint/**，不会干扰/actuator/**的认证；
• defaultSecurityFilterChain的permitAll规则不会提前拦截/actuator/**请求（因为actuator的链优先级更高）。

验证步骤 #

1. 启动应用，通过Actuator的/beans端点确认仅存在一个UserDetailsManager Bean；
2. 使用actuator用户凭证访问/actuator/env，验证返回200；
3. 使用应用自身用户凭证访问/secure_endpoint/**，验证正常访问；
4. 访问/actuator/health，确认无需认证即可访问。

内容的提问来源于stack exchange，提问作者Adrian Pop