Spring Security移除WebSecurityConfigurerAdapter后多Basic Auth配置问题

问题背景 #

重构Spring Security配置移除WebSecurityConfigurerAdapter时，需要为不同路径配置两套完全隔离的Basic Auth认证：

• /very-special-path/**路径使用内存用户存储InMemoryUserDetailsManager
• 其余所有路径使用对接数据库的自定义CustomUserDetailsService
  两套用户存储存在重名用户可能，无法合并。重构后日志可识别到两条安全过滤链，但所有认证请求均返回401，未将对应UserDetailsService绑定到指定SecurityFilterChain。

问题根因 #

认证失效的核心原因有三点：

• 两个UserDetailsService都被声明为全局Spring Bean，Spring Security默认的全局认证逻辑无法按路径区分要使用的用户存储，直接导致认证逻辑混乱
• 特殊路径过滤链的antMatcher路径匹配规则写在了httpBasic()配置之后，没有在配置最开头限定过滤链的处理范围，路径匹配逻辑不符合预期
• 没有为每个SecurityFilterChain配置独立的认证组件，两个过滤链默认会尝试使用全局认证配置，自然无法绑定各自专属的用户存储

正确实现代码 #

直接给每个过滤链单独配置专属的DaoAuthenticationProvider，绑定对应用户存储和密码编码器，注入到当前过滤链即可实现认证逻辑完全隔离，不需要额外声明全局AuthenticationManager。

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    // 数据库用户存储，若其他组件不需要注入可以不声明为全局Bean
    private UserDetailsService customUserDetailsService() {
        return new CustomUserDetailsService(userRepository);
    }

    // 内存特殊用户存储，同理可按需决定是否声明为全局Bean
    private InMemoryUserDetailsManager specialInMemoryUserDetailsService() {
        UserDetails specialUser = User.withUsername(specialUser.getId())
                .password(passwordEncoder().encode(specialUser.getPassword()))
                .roles("SPECIALROLE")
                .build();
        return new InMemoryUserDetailsManager(specialUser);
    }

    @Bean
    @Order(1) // 特殊路径过滤链优先级更高
    public SecurityFilterChain specialFilterChain(HttpSecurity http) throws Exception {
        // 注意：antMatcher必须写在最前面，限定当前过滤链只处理特殊路径
        http.antMatcher("/very-special-path/**")
                .httpBasic()
                .and()
                .authorizeRequests(auth -> auth
                        .anyRequest().authenticated()
                );

        // 构建特殊路径专属认证Provider，绑定内存用户存储
        DaoAuthenticationProvider specialAuthProvider = new DaoAuthenticationProvider();
        specialAuthProvider.setUserDetailsService(specialInMemoryUserDetailsService());
        specialAuthProvider.setPasswordEncoder(passwordEncoder());
        // 注入当前过滤链，和其他过滤链认证逻辑完全隔离
        http.authenticationProvider(specialAuthProvider);

        return http.build();
    }

    @Bean
    @Order(2) // 默认路径过滤链优先级更低
    public SecurityFilterChain defaultFilterChain(HttpSecurity http) throws Exception {
        http.httpBasic()
                .and()
                .authorizeRequests(auth -> auth
                        .anyRequest().authenticated()
                );

        // 构建默认路径专属认证Provider，绑定数据库用户存储
        DaoAuthenticationProvider dbAuthProvider = new DaoAuthenticationProvider();
        dbAuthProvider.setUserDetailsService(customUserDetailsService());
        dbAuthProvider.setPasswordEncoder(passwordEncoder());
        http.authenticationProvider(dbAuthProvider);

        return http.build();
    }
}

配置注意事项 #

• 路径匹配规则必须放在HttpSecurity配置的最开头，确保过滤链只处理指定路径，避免跨路径配置干扰
• 每个过滤链通过authenticationProvider()注入专属认证组件，和对应用户存储强绑定，两套认证逻辑完全隔离，即使用户名重名也不会出现跨存储认证的问题
• 如果业务逻辑需要在其他位置注入UserDetailsService，也可以将其声明为全局Bean，只要在构建DaoAuthenticationProvider时明确指定注入对应实例即可，避免Spring Security按类型自动装配出现歧义
• 不需要额外声明全局AuthenticationManager，每个过滤链会基于自身注入的Provider构建局部认证管理器，完全适配多套认证逻辑隔离的场景

内容的提问来源于stack exchange，提问作者Spielername