配置多个HttpSecurity实例时FilterChain互斥生效问题求助

核心问题 #

你的两个SecurityFilterChain之所以出现一个生效、一个被忽略的情况，本质是两个关键配置缺失：

1. 第一个FilterChain没有限定请求匹配范围，默认会处理所有请求，导致第二个Swagger相关的FilterChain完全没机会触发
2. Swagger的FilterChain里requestMatchers()没有指定具体路径，等于没划定处理范围，再加上优先级低于第一个，自然不会生效

修复方案 #

给每个FilterChain明确指定请求匹配范围，并调整优先级顺序，让更具体的路径（Swagger）先被匹配处理。

修改后的完整代码 #

@Bean
@Order(2) // 优先级低于Swagger的FilterChain，处理/api开头的请求
public SecurityFilterChain apiFilterChain(HttpSecurity http) throws Exception {
    http
        .requestMatchers()
            .antMatchers("/api/**") // 只处理/api开头的所有请求
            .and()
        .authenticationProvider(authenticationProvider())
        .sessionManagement()
            .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
        .cors()
            .and()
        .csrf().disable()
        .authorizeRequests()
            .antMatchers(HttpMethod.GET, "/api/products").hasRole("ADMIN")
            .antMatchers(HttpMethod.PUT, "/api/orders").hasRole("ADMIN")
            .antMatchers("/api/**").permitAll()
            .and()
        .addFilter(new JWTAuthenticationFilter(secret, authenticationManager(authConfig)))
        .addFilterBefore(new JWTAuthorizationFilter(secret), UsernamePasswordAuthenticationFilter.class);

    return http.build();
}

@Bean
@Order(1) // 优先级更高，先匹配Swagger相关路径
public SecurityFilterChain swaggerFilterChain(HttpSecurity http) throws Exception {
    http
        .requestMatchers()
            .antMatchers("/swagger-ui/index.html", "/v3/api-docs/**") // 覆盖所有Swagger相关路径
            .and()
        .authenticationProvider(authenticationProvider())
        .authorizeRequests()
            .anyRequest().authenticated() // 匹配到的路径必须经过认证
            .and()
        .httpBasic() // 启用Basic Auth认证
            .and()
        .sessionManagement()
            .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
        .csrf().disable();

    return http.build();
}

关键修改点说明 #

• 请求范围隔离：每个FilterChain通过requestMatchers().antMatchers(...)明确划定处理范围，Spring会按@Order顺序匹配，找到第一个符合条件的FilterChain处理请求
• 优先级调整：Swagger的路径更具体，设为@Order(1)先匹配；API路径范围更广，设为@Order(2)处理剩余请求
• 路径优化：用/v3/api-docs/**替代单独的路径，避免遗漏Swagger的其他相关接口
• 逻辑合并：把零散的配置块合并成链式调用，逻辑更清晰

验证要点 #

• 访问Swagger路径（如/swagger-ui/index.html）时，会弹出Basic Auth登录框，输入账号密码后才能访问
• 访问API路径（如/api/products）时，必须携带有效的JWT令牌，Basic Auth不会影响API的JWT验证逻辑

内容的提问来源于stack exchange，提问作者sasko