Spring Boot XML安全配置报BeanDefinitionParsingException求助

核心原因 #

1. Spring Boot版本迁移导致API包名变更 #

如果你的Spring Boot版本是3.x及以上，这个问题大概率是因为Jakarta EE取代了Java EE，所有javax.servlet相关的API已经迁移到jakarta.servlet包下。而你在XML配置中仍引用了旧的javax.servlet.Filter类，Spring容器找不到对应的类，从而抛出BeanDefinitionParsingException。

Spring Boot 3.x依赖的Spring Security 6.x完全基于Jakarta EE API，不再兼容旧的javax命名空间。

2. 依赖冲突或缺失 #

• 虽然引入了spring-boot-starter-security和spring-boot-starter-web，但可能存在依赖冲突，比如其他依赖引入了不同版本的servlet API，导致类加载异常。
• 手动排除了spring-boot-starter-web中的servlet API依赖，比如在Maven/Gradle中添加了排除规则，导致javax.servlet.Filter（或Jakarta版本）类缺失。

3. XML配置schema不匹配 #

如果你的XML配置使用了旧版本的Spring Security schema，与当前Spring Security版本不兼容，也可能导致解析时找不到对应的类定义。

解决方案 #

针对Spring Boot 3.x版本 #

1. 替换XML中的API引用
   确保配置中所有涉及servlet的类都使用jakarta.servlet包名，比如如果手动配置了Filter，将javax.servlet.Filter改为jakarta.servlet.Filter。

2. 使用标准的Spring Security XML配置
   无需手动指定Filter类，直接用Spring Security的命名空间配置Basic Auth，示例配置：

   <beans xmlns="http://www.springframework.org/schema/beans"
          xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
          xmlns:security="http://www.springframework.org/schema/security"
          xsi:schemaLocation="http://www.springframework.org/schema/beans
                              http://www.springframework.org/schema/beans/spring-beans.xsd
                              http://www.springframework.org/schema/security
                              http://www.springframework.org/schema/security/spring-security.xsd">
   
       <!-- 对所有REST端点启用Basic Auth -->
       <security:http auto-config="true">
           <security:intercept-url pattern="/**" access="authenticated"/>
           <security:http-basic/>
       </security:http>
   
       <!-- 配置用户认证信息 -->
       <security:authentication-manager>
           <security:authentication-provider>
               <security:user-service>
                   <security:user name="admin" password="{bcrypt}$2a$10$xxxx" authorities="ROLE_ADMIN"/>
               </security:user-service>
           </security:authentication-provider>
       </security:authentication-manager>
   </beans>
   

3. 检查依赖配置
   确保没有排除spring-boot-starter-web中的Jakarta Servlet依赖，Maven依赖示例：

   <dependencies>
       <dependency>
           <groupId>org.springframework.boot</groupId>
           <artifactId>spring-boot-starter-web</artifactId>
       </dependency>
       <dependency>
           <groupId>org.springframework.boot</groupId>
           <artifactId>spring-boot-starter-security</artifactId>
       </dependency>
   </dependencies>
   

针对Spring Boot 2.x版本 #

1. 排查依赖冲突
   用Maven命令查看依赖树：

   mvn dependency:tree
   

   或Gradle命令：

   gradle dependencies
   

   确认javax.servlet-api存在且版本与Spring Boot 2.x兼容（通常是4.x版本），如果有冲突，手动指定正确版本。

2. 修复XML配置
   确保配置中使用的是javax.servlet.Filter，且Spring Security schema版本匹配，示例schema位置：

   xsi:schemaLocation="http://www.springframework.org/schema/security
                       http://www.springframework.org/schema/security/spring-security-5.7.xsd"
   

3. 移除不必要的依赖排除
   如果之前在spring-boot-starter-web中排除了javax.servlet-api，删除该排除规则。

内容的提问来源于stack exchange，提问作者amx