如何为无源码Spring Boot产品动态加载Spring Security

需要放置的内容清单 #

你得根据自己的安全需求（比如你用到了OAuth2客户端）准备以下内容，放到/app/customlibs目录：

• Spring Security核心模块JAR：版本必须和基础产品的Spring Boot版本严格匹配（比如Spring Boot 2.7.x对应Spring Security 5.7.x，Spring Boot 3.x对应Spring Security 6.x），避免版本冲突：
  • spring-security-web.jar：负责Web安全过滤器链的核心包
  • spring-security-config.jar：支持@EnableWebSecurity等配置注解的核心包
  • spring-security-oauth2-client.jar：OAuth2客户端功能相关（对应你报错的ClientRegistrationRepository）
  • spring-security-oauth2-core.jar：OAuth2基础模型定义包
• 自定义安全配置JAR：把你的@EnableWebSecurity配置类打包成独立JAR，并且在JAR的META-INF/spring.factories中注册这个配置类，格式如下：

  org.springframework.boot.autoconfigure.EnableAutoConfiguration=\
  com.example.workflow.config.WebAppSecurityConfig
  

  这样Spring Boot会自动识别并加载你的配置。

能否把所有Spring Security相关JAR打包在一起？ #

完全可以，但要注意两个关键点：

1. 版本严格匹配：所有Spring Security JAR的版本必须和基础产品的Spring Boot版本对应，版本不匹配会直接导致类冲突、方法找不到等问题。
2. 剔除重复依赖：不要打包基础产品已经包含的JAR（比如spring-core、spring-context这些Spring核心包），只保留Spring Security专属的模块JAR，避免类加载冲突。

解决启动报错：ClientRegistrationRepository缺失 #

你遇到的错误是因为你的WebAppSecurityConfig自动注入了ClientRegistrationRepository，但这个Bean不会凭空出现——它需要你配置OAuth2客户端信息后，由Spring Security的自动配置类创建。有两种解决方式：

方式1：添加OAuth2客户端配置

如果能修改基础产品的配置文件（比如application.yml或application.properties），直接添加OAuth2客户端的配置，示例：

spring:
  security:
    oauth2:
      client:
        registration:
          github:
            client-id: 你的客户端ID
            client-secret: 你的客户端密钥
            scope: read:user
        provider:
          github:
            authorization-uri: https://github.com/login/oauth/authorize
            token-uri: https://github.com/login/oauth/access_token
            user-info-uri: https://api.github.com/user
            user-name-attribute: login

配置完成后，Spring Security会自动创建ClientRegistrationRepository及相关Bean。

方式2：手动注册ClientRegistrationRepository

如果无法修改基础产品的配置文件，直接在你的WebAppSecurityConfig中手动创建这个Bean：

@Configuration
@EnableWebSecurity
public class WebAppSecurityConfig extends WebSecurityConfigurerAdapter {

    // 手动创建ClientRegistrationRepository Bean
    @Bean
    public ClientRegistrationRepository clientRegistrationRepository() {
        ClientRegistration githubRegistration = ClientRegistration.withRegistrationId("github")
                .clientId("你的客户端ID")
                .clientSecret("你的客户端密钥")
                .scope("read:user")
                .authorizationUri("https://github.com/login/oauth/authorize")
                .tokenUri("https://github.com/login/oauth/access_token")
                .userInfoUri("https://api.github.com/user")
                .userNameAttributeName("login")
                .clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT_SECRET_BASIC)
                .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
                .redirectUri("{baseUrl}/login/oauth2/code/{registrationId}")
                .build();
        return new InMemoryClientRegistrationRepository(githubRegistration);
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .oauth2Login(); // 启用OAuth2登录流程
    }
}

这样就不需要依赖外部配置，直接在代码中定义客户端信息，解决Bean缺失的问题。

额外注意事项 #

• 确保JAR被加载：有些产品可能需要重启才能识别/app/customlibs目录下的新JAR，重启前确认所有JAR都已放置到位。
• 过滤器链优先级：如果基础产品有自定义过滤器，可能需要在你的配置类中用@Order注解指定Spring Security过滤器链的优先级，确保它能正常生效。
• 排查依赖冲突：如果启动时出现ClassNotFoundException或NoSuchMethodError，几乎都是版本不匹配导致的，核对Spring Security和基础Spring Boot的版本对应关系即可。

内容的提问来源于stack exchange，提问作者Amar Deep Singh