Spring Boot集成OpenID Connect遇springSecurityFilterChain Bean报错

两类报错均为Spring Security OIDC接入过程中的配置类错误，分别对应技术栈混用、身份提供者参数配置错误问题，修复步骤如下：

第一类报错：BeanDefinitionOverrideException 修复 #

报错原因 #

• 原有CRUD应用基于Spring MVC Servlet技术栈（默认引入spring-boot-starter-web），但自定义安全配置错误使用了WebFlux响应式栈的API：方法返回值定义为SecurityWebFilterChain、注入参数为ServerHttpSecurity，这两个类仅在响应式WebFlux场景下生效，和Servlet栈自动装配的springSecurityFilterChain Bean重名，触发Bean注册冲突。
• Spring Boot默认禁止Bean定义覆盖，即使手动开启spring.main.allow-bean-definition-overriding=true，混用两套技术栈的安全配置也会导致后续过滤器链类型不匹配、拦截逻辑完全失效，无法通过允许覆盖解决。

修复步骤 #

• 排查项目依赖，移除多余的spring-boot-starter-webflux、spring-security-webflux等响应式Web相关依赖，仅保留Servlet栈的OIDC客户端依赖：

<!-- Maven依赖示例 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

• 修正安全配置类，替换为Servlet栈对应的API，修改后代码如下：

@Configuration
@EnableWebSecurity
public class OAuth2SecurityConfig {
    @Bean
    public SecurityFilterChain springSecurityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(auth -> auth
                        .requestMatchers("/", "/error").permitAll()
                        .anyRequest().authenticated()
                )
                .oauth2Login(Customizer.withDefaults());
        return http.build();
    }
}

注意：配置中不要使用强制类型转换把OAuth2LoginSpec转成响应式类，直接调用Customizer.withDefaults()即可。

第二类报错：Issuer地址解析失败 修复 #

报错原因 #

• 配置的OIDC发行者（Issuer）地址不合法，Spring Security启动时会自动拼接{issuer-uri}/.well-known/openid-configuration拉取身份提供者的元数据（包含授权端点、Token端点、公钥端点等配置），当前配置的https://idsvr.example.com/oauth/v2/oauth-anonymous地址无法返回合法的OIDC元数据，导致客户端注册仓库初始化失败。

排查修复步骤 #

• 确认正确的OIDC Issuer地址：直接在浏览器访问{待验证的issuer地址}/.well-known/openid-configuration，如果能正常返回JSON格式的元数据内容、无404/401/连接拒绝错误，才是合法的Issuer地址。
• 修正配置文件中的OIDC客户端参数，示例配置如下：

spring:
  security:
    oauth2:
      client:
        registration:
          default:
            client-id: 从身份提供者申请的客户端ID
            client-secret: 从身份提供者申请的客户端密钥
            scope: openid,profile,email
        provider:
          default:
            issuer-uri: 验证通过的合法OIDC Issuer地址
            # 仅当身份提供者不支持OIDC元数据自动发现时，才需要手动配置各个端点地址
            # authorization-uri: 授权页面地址
            # token-uri: Token签发接口地址
            # jwk-set-uri: 公钥获取接口地址
            # user-info-uri: 用户信息查询接口地址

• 若Issuer地址验证通过仍报错，检查应用所在服务器的网络策略，确认应用可正常访问身份提供者的服务端口，无防火墙、出口代理拦截请求。

验证逻辑 #

• 启动项目无Bean相关报错
• 访问/user接口会自动跳转到OIDC统一登录页
• 登录完成后可正常读取OidcUser中的用户信息，原有CRUD接口认证通过后可正常访问

内容的提问来源于stack exchange，提问作者kiki keke