未配置OAuth客户端信息，Spring OAuth为何仍显示默认用户名密码表单？

我编写了如下两个类：

@SpringBootApplication
public class OauthDemo {
    public static void main(String[] args) {
        SpringApplication.run(OauthDemo.class, args);
    }
}


@RestController
@RequestMapping("/api")
public class RestDemo {
    
    @GetMapping("/protected")
    public String protectedAccess() {
        return "Hello world!!";     
    }
}

首先添加如下依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

运行应用后，系统为默认用户User自动生成密码并输出到控制台，输入凭据后可成功访问REST接口获取“Hello World”响应。

随后将上述依赖替换为OAuth依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>

未配置任何OAuth客户端信息（如客户端ID和客户端密钥），本以为会报错，但结果与使用spring-boot-starter-security依赖时一致：系统仍为默认用户User自动生成密码并输出到控制台。

请问这是为什么？是否是因为OAuth依赖找不到客户端信息而触发了回退机制？

这是因为spring-boot-starter-oauth2-client本身依赖spring-boot-starter-security，当没有配置任何OAuth2客户端参数时，Spring Security的自动配置会退回到默认的HTTP Basic认证模式，也就是你看到的生成默认用户User和随机密码的行为。

具体细节：

• spring-boot-starter-oauth2-client的依赖树包含spring-boot-starter-security，所以替换依赖后，基础Spring Security功能依然存在。
• Spring Security自动配置会检查是否存在有效OAuth2客户端配置（如spring.security.oauth2.client.registration.*相关属性）。如果找不到这些配置，OAuth2客户端的自动配置不会生效，此时系统启用默认安全配置——创建默认用户、生成随机密码，并用HTTP Basic保护接口。

本质上不是什么特殊“回退机制”，而是OAuth2客户端配置缺失时，原本的基础Spring Security默认配置自然生效，因为依赖本身就包含它。

内容的提问来源于stack exchange，提问作者MsA