Spring Security如何根据配置可选启用HTTP Basic认证

核心逻辑是在初始化Spring Security过滤链时，先判断spring.security.user.name、spring.security.user.password两个配置项是否同时存在有效值，根据判断结果切换认证策略：配置存在时启用HTTP Basic认证，配置缺失时直接放行所有请求。 #

方案1：单配置类内判断（写法简洁） #

直接在原有配置类中注入环境配置读取属性，分支处理逻辑即可：

@Configuration
@EnableWebSecurity
public class BasicAuthConfig {

    @Resource
    private Environment environment;

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        // 读取配置项，不存在时返回null
        String username = environment.getProperty("spring.security.user.name");
        String password = environment.getProperty("spring.security.user.password");

        if (org.springframework.util.StringUtils.hasText(username) 
            && org.springframework.util.StringUtils.hasText(password)) {
            // 两个配置都存在非空值，启用HTTP Basic认证
            http
                .authorizeRequests(auth -> auth.anyRequest().authenticated())
                .httpBasic(Customizer.withDefaults());
        } else {
            // 配置缺失，关闭认证、放行所有请求
            http
                .authorizeRequests(auth -> auth.anyRequest().permitAll())
                .httpBasic().disable();
        }

        http.cors().disable().csrf().disable();
        return http.build();
    }
}

方案2：条件装配拆分配置（逻辑解耦） #

如果不想在代码里写分支判断，可以用Spring条件注解，根据配置是否存在加载不同的安全配置：

启用认证的配置类 #

@Configuration
@EnableWebSecurity
// 仅当两个配置项都非空时加载该配置
@ConditionalOnExpression("!'${spring.security.user.name:}'.isEmpty() && !'${spring.security.user.password:}'.isEmpty()")
public class BasicAuthEnabledConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeRequests(auth -> auth.anyRequest().authenticated())
            .httpBasic(Customizer.withDefaults())
            .cors().disable()
            .csrf().disable();
        return http.build();
    }
}

关闭认证的配置类 #

@Configuration
@EnableWebSecurity
// 任意一个配置项为空时加载该配置
@ConditionalOnExpression("'${spring.security.user.name:}'.isEmpty() || '${spring.security.user.password:}'.isEmpty()")
public class BasicAuthDisabledConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeRequests(auth -> auth.anyRequest().permitAll())
            .httpBasic().disable()
            .cors().disable()
            .csrf().disable();
        return http.build();
    }
}

注意事项 #

• 读取配置时给占位符设置空字符串作为默认值，避免配置不存在时抛出占位符无法解析的异常
• 配置缺失时需要显式调用httpBasic().disable()关闭基础认证，避免框架触发默认的认证逻辑
• 以上代码基于Spring Security 6.x版本编写，如果使用5.x旧版本，将lambda式的配置写法替换为旧版链式调用即可，核心判断逻辑完全通用

内容的提问来源于stack exchange，提问作者tony