如何在Spring HTTP Basic认证中配置自定义UserDetailService与AuthenticationManager

你的问题出在手动构建AuthenticationManager后，没有正确让HTTP Basic认证模块关联到这个实例。手动添加BasicAuthenticationFilter确实能解决问题，但Spring Security提供了更标准的配置方式，不需要手动操作过滤器。

标准实现方式一：独立配置AuthenticationManager Bean #

先将自定义的UserDetailsService和AuthenticationManager注册为Bean，再在SecurityFilterChain中引用：

1. 注册自定义UserDetailsService：

@Bean
public UserDetailsService userDetailsService(UserManager userManager) {
    return new UserDetailServiceImpl(userManager);
}

2. 配置AuthenticationManager：

@Bean
public AuthenticationManager authenticationManager(AuthenticationConfiguration authConfig) throws Exception {
    return authConfig.getAuthenticationManager();
}

3. 构建SecurityFilterChain：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http, 
                                               AuthenticationManager authenticationManager,
                                               PasswordEncoder passwordEncoder) throws Exception {
    http
        // 配置HTTP Basic认证并指定AuthenticationManager
        .httpBasic(basic -> basic.authenticationManager(authenticationManager))
        // 配置所有请求需要认证
        .authorizeHttpRequests(auth -> auth.anyRequest().authenticated());
        
    return http.build();
}

标准实现方式二：直接在SecurityFilterChain中关联UserDetailsService #

如果不需要单独复用AuthenticationManager，可以直接在SecurityFilterChain配置中绑定自定义UserDetailsService和密码编码器，Spring会自动处理AuthenticationManager的创建和关联：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http, 
                                               UserDetailsService userDetailsService,
                                               PasswordEncoder passwordEncoder) throws Exception {
    http
        .httpBasic()
        .and()
        .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
        // 绑定自定义UserDetailsService
        .userDetailsService(userDetailsService)
        // 设置密码编码器
        .passwordEncoder(passwordEncoder);
        
    return http.build();
}

原代码问题说明 #

你之前手动通过http.getSharedObject(AuthenticationManagerBuilder.class)构建AuthenticationManager的方式，没有让Spring Security的HTTP Basic组件正确识别并关联这个实例，导致BasicAuthenticationFilter没有使用你配置的认证管理器。而上述两种标准方式都是通过Spring Security的原生配置入口完成绑定，框架会自动处理过滤器的注册和管理器的关联。

内容的提问来源于stack exchange，提问作者Hynek Hrabík