如何禁用Spring Cloud Gateway中OAuth2 Resource Server的登录页面

1. 你的配置中启用了HTTP Basic认证（.httpBasic(withDefaults())），导致未携带有效JWT的请求触发浏览器默认的登录弹窗
2. Spring Cloud Gateway基于Reactive（WebFlux）架构，但你使用了Servlet环境的Spring Security配置（@EnableWebSecurity + HttpSecurity），存在环境不兼容问题
3. JWT服务的路由规则Path=/**会覆盖所有前置路由，导致其他微服务的路由无法正常匹配

1. 替换为Reactive适配的Security配置 #

删除原SecurityConfig.java，替换为以下WebFlux版本的配置，移除HTTP Basic认证并配置未认证直接返回401：

package com.example.routing.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.reactive.EnableWebFluxSecurity;
import org.springframework.security.config.web.server.ServerHttpSecurity;
import org.springframework.security.web.server.SecurityWebFilterChain;
import com.nimbusds.jose.jwk.JWK;
import com.nimbusds.jose.jwk.JWKSet;
import com.nimbusds.jose.jwk.RSAKey;
import com.nimbusds.jose.jwk.source.ImmutableJWKSet;
import com.nimbusds.jose.jwk.source.JWKSource;
import com.nimbusds.jose.proc.SecurityContext;
import org.springframework.security.oauth2.jwt.JwtDecoder;
import org.springframework.security.oauth2.jwt.JwtEncoder;
import org.springframework.security.oauth2.jwt.NimbusJwtDecoder;
import org.springframework.security.oauth2.jwt.NimbusJwtEncoder;
import org.springframework.http.HttpStatus;
import reactor.core.publisher.Mono;

@Configuration
@EnableWebFluxSecurity
public class SecurityConfig {

    private final RsaKeyPropreties rsakeys;

    public SecurityConfig(RsaKeyPropreties rsakeys) {
        this.rsakeys = rsakeys;
    }

    @Bean
    public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
        return http
                .csrf(csrf -> csrf.disable())
                .authorizeExchange(exchanges -> exchanges
                        // 放行JWT服务的认证接口（根据你的实际接口路径调整）
                        .pathMatchers("/auth/**").permitAll()
                        // 其余所有请求必须认证
                        .anyExchange().authenticated()
                )
                .oauth2ResourceServer(oauth2 -> oauth2.jwt(jwt -> jwt.decoder(jwtDecoder())))
                .exceptionHandling(exception -> exception
                        // 未认证时直接返回401，不触发浏览器登录弹窗
                        .authenticationEntryPoint((exchange, ex) -> {
                            exchange.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED);
                            return Mono.empty();
                        })
                )
                .build();
    }

    @Bean
    JwtDecoder jwtDecoder() {
        return NimbusJwtDecoder.withPublicKey(rsakeys.publickey()).build();
    }

    @Bean
    JwtEncoder jwtEncoder() {
        JWK jwk = new RSAKey.Builder(rsakeys.publickey()).privateKey(rsakeys.privatekey()).build();
        JWKSource<SecurityContext> jws = new ImmutableJWKSet<>(new JWKSet(jwk));
        return new NimbusJwtEncoder(jws);
    }
}

2. 修正JWT服务路由规则 #

修改application.properties中的JWT路由，使用精确路径匹配，避免覆盖其他微服务路由：

# 将原JWT路由的Path=/**改为具体的认证接口路径（示例为/auth/**，根据你的实际接口调整）
spring.cloud.gateway.routes[3].id=jwt
spring.cloud.gateway.routes[3].uri=lb://JWT
spring.cloud.gateway.routes[3].predicates=Path=/auth/**

3. 清理无用配置 #

删除原SecurityConfig中的InMemoryUserDetailsManager Bean，因为JWT认证不需要内存用户存储。

内容的提问来源于stack exchange，提问作者Rafael Souza