Spring Security配置未生效排查：API端点无安全校验

嘿，我来帮你排查一下Spring Security配置的问题！你的API认证没生效的核心原因是把MVC表单认证和API的HTTP Basic认证放在了同一个WebSecurityConfigurerAdapter配置类里，并且第一个antMatcher("/users/**")已经限定了这个配置只处理/users/**路径的请求，导致后面的/api/v1/**相关配置完全不会被触发。

具体错误点拆解 #

• 当你在HttpSecurity上调用antMatcher("/users/**")时，这个配置类只会处理路径匹配/users/**的请求，所有/api/v1/**的请求根本不会进入这个配置的逻辑，自然不会触发HTTP Basic校验。
• 同一个配置类里多次调用authorizeRequests()会覆盖或冲突，无法同时处理两种不同路径的认证规则。

修复后的配置代码 #

我们需要把API和MVC的认证逻辑拆分成两个独立的WebSecurityConfigurerAdapter配置类，各自通过@Order指定优先级，确保不同路径的请求进入对应的认证流程：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig {

    // 首先处理API的HTTP Basic认证，设置更高优先级（@Order值越小优先级越高）
    @Order(1)
    @Configuration
    public static class ApiSecurityConfiguration extends WebSecurityConfigurerAdapter {
        @Bean
        public BCryptPasswordEncoder getBCryptPasswordEncoder() {
            return new BCryptPasswordEncoder();
        }

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            // 限定这个配置只处理/api/v1/**路径的请求
            http.antMatcher("/api/v1/**")
                .csrf().disable() // API一般不需要CSRF保护
                .authorizeRequests()
                    .anyRequest().hasRole("USER")
                    .and()
                .httpBasic(); // 启用HTTP Basic认证
        }
    }

    // 处理MVC的表单认证，优先级低于API配置
    @Order(2)
    @Configuration
    public static class MVCSecurityConfiguration extends WebSecurityConfigurerAdapter {
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            // 限定这个配置处理/users/**及其他MVC路径的请求
            http.antMatcher("/users/**")
                .csrf()
                .and()
                .authorizeRequests()
                    // 放行不需要认证的路径
                    .antMatchers("/resources/**", "/users/register", "/users/signup", 
                                "/users/confirm", "/users/user-action", "/users/reset-password", 
                                "/confirm", "/webjars/**").permitAll()
                    // 其他/users/**路径需要USER角色
                    .antMatchers("/users/**").hasRole("USER")
                    .anyRequest().authenticated()
                    .and()
                // 配置表单登录
                .formLogin()
                    .loginPage("/login")
                    .usernameParameter("username")
                    .passwordParameter("password");
        }
    }
}

关键修复说明 #

1. 拆分配置类：把API和MVC认证拆成两个独立的配置，各自负责自己的路径范围，避免冲突。
2. @Order优先级：给API配置设置更高优先级（@Order(1)），确保/api/v1/**的请求先进入API的认证逻辑，剩下的请求由MVC配置处理。
3. 精确的antMatcher：每个配置类都用antMatcher明确指定自己处理的路径范围，Spring Security会根据请求路径匹配对应的配置类。
4. CSRF设置：API场景下通常不需要CSRF保护，所以关闭它；MVC场景可以根据需求保留或调整。

这样调整后，/api/v1/**的请求会触发HTTP Basic认证，/users/**的请求会走表单认证流程，两者就都能正常工作啦！

内容的提问来源于stack exchange，提问作者zilcuanu