响应式Spring Security禁用Basic认证后仍触发Basic身份认证问题咨询

• 请求头差异触发不同响应逻辑：浏览器、普通curl发起请求时默认携带Accept: text/html头，Spring Security识别后会触发OAuth2登录流程，返回302跳转IDP登录页；WebTestClient默认发起的请求携带Accept: application/json头，Spring Security判定该请求期望JSON格式响应，不会触发页面跳转，走默认未认证响应逻辑。
• Basic相关配置未完全禁用：http.httpBasic().disable()仅关闭了Basic认证的校验过滤器，没有修改异常处理阶段的默认未认证响应EntryPoint，且你未排除Spring Boot自带的UserDetailsServiceAutoConfiguration自动配置类，只要classpath下存在Spring Security依赖，该配置会自动生成内存用户、打印启动默认密码，未认证的非页面请求会默认返回带www-authenticate: Basic头的401响应。

1. 完全禁用Basic相关自动配置：在启动类@SpringBootApplication注解中添加排除规则，避免默认内存用户生成：

@SpringBootApplication(exclude = {UserDetailsServiceAutoConfiguration.class})

2. 显式指定未认证请求的处理逻辑：在SecurityWebFilterChain配置中添加异常处理规则，统一未认证请求的响应逻辑，避免 fallback 到Basic认证的响应逻辑：

@Bean
public SecurityWebFilterChain webFilterChain(ServerHttpSecurity http) {
  http.oauth2Client()
    .and()
    .oauth2Login()
    .and()
    // 新增异常处理配置
    .exceptionHandling()
      // 需要跳转的场景用重定向EntryPoint
      .authenticationEntryPoint(new RedirectServerAuthenticationEntryPoint("/oauth2/authorization/google"))
      // 若需要返回JSON格式401，可以自定义实现ServerAuthenticationEntryPoint
    .and()
    .httpBasic().disable()
    .formLogin().disable()
    .csrf().disable()
    .authorizeExchange()
    .pathMatchers("/actuator/health").permitAll()
    .anyExchange().authenticated();
  return http.build();
}

3. 测试场景适配：如果需要WebTestClient得到和浏览器一致的跳转响应，在构造请求时显式添加Accept: text/html头即可。

Spring Security的配置优先级遵循以下规则：

• 自定义的SecurityWebFilterChain Bean优先级高于Spring Boot自动装配的安全配置
• 同一过滤器链中，先声明的认证规则优先级高于后声明的规则
• 异常处理的EntryPoint会优先匹配请求的Accept头、路径等特征，无匹配项时才会使用全局默认EntryPoint
  你提到的旧帖对应的是Servlet栈Spring Security的规则，当前你使用的WebFlux响应式栈的规则逻辑一致，仅API实现不同。

相关规则可以参考Spring官方文档的对应章节：

• Spring Security响应式安全配置的异常处理部分
• Spring Boot安全自动配置的默认行为说明
• WebTestClient集成Spring Security测试的相关说明

内容的提问来源于stack exchange，提问作者Segev Malool