Spring Security多Http配置在Railway.app中Admin规则失效问题

我在配置多Http请求的SecurityFilterChain时遇到问题：CLIENT配置可正常工作，无需重定向到专用登录页且认证符合预期；但Admin配置被完全忽略，既不重定向到指定登录页也不设置任何访问限制。该问题仅出现在Railway.app托管环境，本地和Heroku部署时均正常。

两个配置类已使用不同@Order注解，Admin的优先级更高（@Order(1)），理论上CLIENT配置不会覆盖Admin配置，但在Railway上就是不行。

Admin配置类 #

@Configuration
@Order(1)
public class adminSecurityConfig {

    @Bean
    public UserDetailsService userDetailsService() {
        return new CustomUserDetailsService();
    }

    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public SecurityFilterChain filterChain1(HttpSecurity http) throws Exception {
        //http.authorizeRequests().antMatchers("/").permitAll();

        http // ...
                .csrf().disable();

        http.antMatcher("/dashboard/**")
                .authorizeHttpRequests(authorize -> authorize
                .anyRequest().hasRole("ADMIN")
            )
                .formLogin()
                .loginPage("/dashboard/login_admin")
                .usernameParameter("email")
                .loginProcessingUrl("/dashboard/login_admin")
                .defaultSuccessUrl("/dashboard/home")
                .and()
                .logout()
                .logoutUrl("/dashboard/logout")
                .logoutSuccessUrl("/")
                .and()
                .exceptionHandling().accessDeniedPage("/403");
        System.out.println("Configuracion de Admin");
        return http.build();
    }
    
}

CLIENT配置类 #

@Configuration
@Order(2)
public class clienteSecurityConfig {
    /*
    @Bean
    public AuthenticationSuccessHandler successHandler() {
        SimpleUrlAuthenticationSuccessHandler handler = new SimpleUrlAuthenticationSuccessHandler();
        handler.setUseReferer(true);
        return handler;
    }*/
    
    @Autowired
    AuthFailuredHandler authFailureHandler;
    
    @Autowired
    AuthSuccesHandler authAuthSuccesHandle;
  
    @Bean
    public SecurityFilterChain filterChain2(HttpSecurity http) throws Exception {

         http 
                .csrf().disable();
        
        http
                .requestCache().disable().authorizeRequests()
                .antMatchers("/detalle-pago","/validarCupon","/pago2","/pagar")
                .hasAuthority("CLIENTE")
                //
            .and()
            
            .formLogin()
            .usernameParameter("email")
            .passwordParameter("password")
            .loginProcessingUrl("/login_cliente")
            .successHandler(authAuthSuccesHandle)
            .failureHandler(authFailureHandler)
            .permitAll()
            .and()
            .logout()
            .logoutUrl("/logout")
            .logoutSuccessUrl("/")
                .and()
                .exceptionHandling().accessDeniedPage("/403");
        System.out.println("Configuracion de Cliente");
        return http.build();
    }
}

排查建议 #

• 确认配置类是否加载：查看Railway应用日志，确认是否打印了Configuracion de Admin。如果没有，说明adminSecurityConfig未被Spring扫描到，检查包路径是否符合组件扫描规则，或者Railway的部署包是否包含该类。
• 验证路径匹配：检查Railway环境下的请求路径是否和本地一致，比如是否存在反向代理导致路径前缀变化，使得/dashboard/**的请求没有匹配到Admin的FilterChain。可以在Admin配置里添加更详细的日志，记录进入filterChain1的请求路径。
• 检查Bean冲突：UserDetailsService和BCryptPasswordEncoder在Admin配置中定义，确认项目中是否有其他同类型Bean。Spring可能在不同环境下选择不同的Bean实例，导致Admin认证逻辑异常。可以给这两个Bean指定唯一名称，或者用@Primary注解明确优先级。
• 开启Security调试日志：在Railway的应用配置中添加logging.level.org.springframework.security=DEBUG，查看FilterChain的匹配流程，确认/dashboard/**请求是否被正确路由到Admin的filterChain1。
• 核对上下文路径：确认Railway上的server.servlet.context-path配置和本地一致，如果有变化，会影响路径匹配规则。
• 确认@Order注解正确性：确保使用的是org.springframework.core.annotation.Order，而非其他包下的Order类，避免注解失效导致FilterChain顺序混乱。

内容的提问来源于stack exchange，提问作者DESTROYER GG