Spring Boot 2.7.5版本Basic Authentication实现疑问咨询

1. authorizeHttpRequests() 和 authorizeRequests() 优先使用哪一个？ #

在高版本Spring Security（5.7及以上）中，authorizeRequests()已被标记为过时（Deprecated），官方明确推荐优先使用authorizeHttpRequests()：

• authorizeHttpRequests()是适配Servlet 6+规范的新API，后续会持续维护迭代；
• authorizeRequests()属于旧版API，未来版本会被移除，使用它会增加后续框架升级的兼容性风险。

2. httpBasic() 和 httpBasic(withDefaults()) 哪种更适合？ #

两者实际效果完全一致，httpBasic()方法内部默认就是调用httpBasic(withDefaults())，核心源码如下：

public HttpBasicConfigurer<HttpSecurity> httpBasic() throws Exception {
    return httpBasic(withDefaults());
}

如果不需要自定义Basic认证的配置（比如修改realm名称、自定义认证失败处理逻辑等），直接用httpBasic()更简洁；如果需要定制化配置，才需要传入自定义的HttpBasicConfigurer实例。

3. 两种PasswordEncoder Bean语法的区别与选择 #

你提供的两种Bean定义逻辑上都能正常工作，但存在设计层面的差异：

第一种（返回接口）： #

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

第二种（返回具体实现类）： #

@Bean
public BCryptPasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

• 正确性：两种语法都合法，但第一种存在语法错误（缺少闭合的}），补全后可正常运行；
• 区别：第一种遵循面向接口编程原则，依赖注入时注入的是PasswordEncoder接口，后续如果需要更换密码编码器（比如换成Argon2PasswordEncoder），只需修改Bean的返回实现，无需改动所有依赖该Bean的代码；第二种注入的是具体实现类，耦合度更高，后续更换编码器时需要修改所有依赖BCryptPasswordEncoder的地方；
• 推荐选择：优先使用第一种，降低代码耦合度，提升系统扩展性。

附：修正语法后的代码示例 #

// 两种PasswordEncoder Bean示例（修正语法错误）
@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

@Bean
public BCryptPasswordEncoder bCryptPasswordEncoder() {
    return new BCryptPasswordEncoder();
}

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    String username = "your-username";
    String password = "your-password";
    String role = "USER";

    String encodedPassword = passwordEncoder().encode(password);
    System.out.println("encodedPassword: " + encodedPassword);

    AuthenticationManagerBuilder authenticationManagerBuilder = http.getSharedObject(AuthenticationManagerBuilder.class);
    authenticationManagerBuilder.inMemoryAuthentication()
            .withUser(username)
            .password(encodedPassword)
            .roles(role);

    AuthenticationManager authenticationManager = authenticationManagerBuilder.build();

    http.csrf().disable()
            .authorizeHttpRequests(authz -> authz
                    .antMatchers("/service").hasRole(role)
            )
            .authenticationManager(authenticationManager)
            .httpBasic();

    return http.build();
}

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

内容的提问来源于stack exchange，提问作者Rose