Spring MVC不同端点配置独立基础认证登录的可扩展方案咨询

推荐使用你提到的第三种方案：基于AuthenticationManagerResolver实现请求级别的认证管理器路由，这是Spring Security官方提供的原生扩展点，完全匹配你的业务需求，无代码冗余，扩展性极强。

实现步骤 #

1. 扩展LookupAuthenticationService #

新增按端点+用户名查询凭证的方法，适配按端点隔离的查询逻辑：

@Service
public class LookupAuthenticationService {
    // 原有逻辑保持不变
    
    /**
     * 根据端点标识和用户名查询对应凭证
     * @param endpoint 端点标识 比如users/info/data
     * @param username 登录用户名
     * @return 数据库存储的加密后密码
     */
    public String loadPasswordByEndpointAndUsername(String endpoint, String username) {
        // 实现你的数据库查询逻辑，按endpoint+username筛选记录
    }
}

2. 自定义EndpointAuthenticationManagerResolver #

实现Spring Security提供的AuthenticationManagerResolver接口，根据当前请求路径匹配对应的认证逻辑：

@Component
public class EndpointAuthenticationManagerResolver implements AuthenticationManagerResolver<HttpServletRequest> {
    private final PasswordEncoder passwordEncoder;
    private final LookupAuthenticationService lookupService;
    // 可选：添加本地缓存，避免每次请求重复构造AuthenticationManager
    private final Map<String, AuthenticationManager> managerCache = new ConcurrentHashMap<>();

    public EndpointAuthenticationManagerResolver(PasswordEncoder passwordEncoder, LookupAuthenticationService lookupService) {
        this.passwordEncoder = passwordEncoder;
        this.lookupService = lookupService;
    }

    @Override
    public AuthenticationManager resolve(HttpServletRequest request) {
        // 提取当前请求的端点标识，示例规则为取/rest/后的第一段路径，可根据实际业务调整
        String endpoint = request.getRequestURI()
                .replaceFirst("^/rest/", "")
                .split("/")[0];
        
        // 缓存中存在直接返回，不存在则新建
        return managerCache.computeIfAbsent(endpoint, this::buildAuthenticationManager);
    }

    private AuthenticationManager buildAuthenticationManager(String endpoint) {
        // 构造当前端点专属的UserDetailsService
        UserDetailsService userDetailsService = username -> {
            String password = lookupService.loadPasswordByEndpointAndUsername(endpoint, username);
            if (password == null) {
                throw new UsernameNotFoundException("无效凭证");
            }
            return User.withUsername(username)
                    .password(password)
                    .authorities(Collections.emptyList())
                    .build();
        };
        // 构造当前端点专属的认证Provider
        DaoAuthenticationProvider provider = new DaoAuthenticationProvider();
        provider.setUserDetailsService(userDetailsService);
        provider.setPasswordEncoder(passwordEncoder);
        return provider::authenticate;
    }
}

3. 改造SecurityConfiguration配置 #

移除原有全局认证相关配置，绑定自定义的Resolver即可：

@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
    private static final String[] ENDPOINT_LIST = {"/rest/**"};
    private final EndpointAuthenticationManagerResolver authManagerResolver;

    public SecurityConfiguration(EndpointAuthenticationManagerResolver authManagerResolver) {
        this.authManagerResolver = authManagerResolver;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .antMatchers(ENDPOINT_LIST)
                .authenticated()
                .and()
                .httpBasic()
                // 绑定请求级认证管理器解析器
                .authenticationManagerResolver(authManagerResolver);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

可选轻量方案（仅适合同步接口场景） #

如果你的项目所有接口都是同步请求，不需要支持异步场景，可以直接在现有LookupAuthenticationService中通过RequestContextHolder获取当前请求，不需要改其他配置：

@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    ServletRequestAttributes attrs = (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();
    if (attrs == null) {
        throw new UsernameNotFoundException("无有效请求上下文");
    }
    // 提取端点标识，规则同上
    String endpoint = attrs.getRequest().getRequestURI()
            .replaceFirst("^/rest/", "")
            .split("/")[0];
    // 按endpoint+username查询凭证构造UserDetails即可
}

方案优势 #

• 扩展性极强：新增端点不需要修改任何Java代码，只需要在数据库新增对应端点的凭证记录即可，完美适配不同客户部署实例的差异化配置
• 无代码冗余：不需要为每个端点新增独立配置或拦截器，所有逻辑统一收口
• 符合官方规范：基于Spring Security原生扩展点实现，没有自定义Filter等侵入性强的逻辑，稳定性高

内容的提问来源于stack exchange，提问作者DGK