Spring Boot项目可否同时配置Basic认证与JWT认证保护不同API？

问题1：角色匹配规则理解是否正确 #

你的理解和推论完全正确：

• USER_MATCHER下的接口仅拥有USER角色的用户可访问
• ADMIN_MATCHER下的接口仅拥有ADMIN角色的用户可访问
• ReadUser仅拥有USER角色，只能访问/api/utenti/cerca/**下的接口
• Admin同时拥有两个角色，可访问所有三个规则匹配的接口

问题2：未匹配接口返回401的原因和配置调整 #

原因 #

你遇到的401问题确实是anyRequest().authenticated()配置导致的，这条规则的作用是：所有没有被前面antMatchers明确匹配到的请求，都要求必须完成身份认证，只是不限制角色。

调整方案 #

如果要实现你要求的逻辑，只需要把anyRequest().authenticated()替换为anyRequest().permitAll()即可，未匹配到两个保护规则的接口就可以匿名访问。

方案合理性说明 #

这个方案可以实现需求，但安全性偏低，后续新增接口如果需要保护，必须主动加到USER_MATCHER或ADMIN_MATCHER列表中，容易出现漏配导致敏感接口暴露的问题。更稳妥的方案是额外定义公开接口匹配规则，保留默认认证要求：

// 定义公开接口列表
private static final String[] PUBLIC_MATCHER = { "/api/users/test/**", "/xxx/**"};

// 配置顺序调整为
http.csrf().disable()
    .authorizeRequests()
    .antMatchers(USER_MATCHER).hasAnyRole("USER")
    .antMatchers(ADMIN_MATCHER).hasAnyRole("ADMIN")
    .antMatchers(PUBLIC_MATCHER).permitAll() // 明确列出的公开接口允许匿名访问
    .anyRequest().authenticated(); // 其余未明确匹配的接口默认要求认证

问题3：同项目配置双认证方案是否可行 #

可行性 #

完全可以在同一个Spring Boot项目中配置两种认证方式。Spring Security支持配置多条独立的安全过滤链，你可以为不同路径的接口匹配不同的认证逻辑：

• 给内部调用的/api/utenti/**类接口配置Basic认证规则
• 给新增的用户管理类接口配置JWT认证规则

方案合理性说明 #

如果当前服务的用户核心逻辑都已经集中在此，且业务体量不大，不需要独立拆分的情况下，把用户管理功能放在当前服务是完全合理的，不需要额外新建微服务，避免增加运维和调用成本。只有当后续用户管理业务迭代频率、访问量级和基础用户查询接口差异非常大的时候，再考虑拆分即可。

内容的提问来源于stack exchange，提问作者AndreaNobili