Spring Security多配置类下httpBasic被oauth2Login覆盖问题

• 重复标注@EnableWebSecurity：该注解为Spring Security全局启用注解，只需标注一次，多个配置类重复添加会打乱SecurityFilterChain的优先级排序与路径匹配逻辑。
• Okta Starter自动配置侵入：okta-spring-boot-starter:2.1.5的OktaOAuth2AutoConfiguration会默认向所有未显式关闭OAuth2登录的Security过滤器链注入OAuth2认证规则，不会主动感知你配置的requestMatcher路径范围，导致/monitoring/**路径的请求被OAuth2认证拦截。
• 授权规则链断裂：Actuator配置中多次调用authorizeRequests()方法，导致anyRequest().hasRole("ACTUATOR")规则没有被限定在/monitoring/**路径范围内，和低优先级的Okta配置产生规则冲突。

1. 调整注解使用
   只在最低优先级的Okta配置类上添加一次@EnableWebSecurity，Actuator配置类仅保留@Configuration、@Order注解即可。

2. 修正Actuator安全配置
   显式限定路径范围、开启HttpBasic、禁用该链下的OAuth2登录，保证授权规则连续不中断：

@Configuration
@Order(Ordered.HIGHEST_PRECEDENCE)
public class ActuatorSecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.requestMatchers().antMatchers("/monitoring/**")
                .and()
                // 配置基础认证，指定弹窗入口
                .httpBasic()
                .and()
                .authorizeRequests()
                // 放行健康检查端点
                .antMatchers("/monitoring/health").permitAll()
                // 其余监控端点要求ACTUATOR角色
                .antMatchers("/monitoring/**").hasRole("ACTUATOR")
                .and()
                .csrf().disable()
                // 显式关闭该路径下的OAuth2登录，避免Okta自动配置侵入
                .oauth2Login().disable();
    }
}

3. 修正Okta业务接口配置
   显式限定业务路径范围，关闭该链下的HttpBasic避免冲突：

@Configuration
@Order(Ordered.LOWEST_PRECEDENCE)
@EnableWebSecurity
public class OktaSecurityConfiguration extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.requestMatchers().antMatchers("/rest/**")
                .and()
                .authorizeRequests()
                .anyRequest().authenticated()
                .and()
                .oauth2Login()
                .and()
                // 关闭业务路径下的基础认证
                .httpBasic().disable()
                .csrf().disable();
    }
}

4. 配置基础认证用户
   在项目配置文件中添加拥有ACTUATOR角色的监控端点访问账号，以application.yml为例：

spring:
  security:
    user:
      name: actuator-admin
      password: 替换为你的强密码
      roles: ACTUATOR

配置完成后重启服务，访问/monitoring/health可直接匿名访问，访问其他/monitoring/**端点会弹出基础认证弹窗，访问/rest/**路径会正常跳转至Okta登录页。

内容的提问来源于stack exchange，提问作者Hanan Zamalin