Spring Security自定义过滤器需额外配置AuthenticationManager Bean的原因

假设错误的核心原因 #

你混淆了Spring Security的内部局部组件和全局Spring Bean的边界。Spring Security默认提供的AuthenticationManager根本没有注册为全局上下文中的Bean，它只是自动生成的默认SecurityFilterChain绑定的内部专用实例，仅供给默认过滤器链内部的组件使用，自定义过滤器这类外部Bean自然无法直接注入。

为什么Spring不默认暴露全局AuthenticationManager Bean #

这是Spring Security的有意设计：

• 当你引入Spring Security依赖且添加@EnableWebSecurity注解、没有自定义AuthenticationManager相关配置时，框架只会自动构建一个局部的AuthenticationManager实例，专门适配默认的认证逻辑（表单登录、Basic认证等），避免全局上下文中出现多个认证管理器实例导致的注入歧义。
• 框架默认不暴露该实例，是为了避免开发者在不知情的情况下，误将适配默认认证逻辑的管理器用到自定义的认证链路中，引发跨域、权限逻辑错乱等问题。

常规配置方案 #

如果需要全局可注入的AuthenticationManager，可以直接从认证配置类中获取并注册为Bean即可，示例如下：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    // 注册全局AuthenticationManager Bean
    @Bean
    public AuthenticationManager authenticationManager(AuthenticationConfiguration authConfig) throws Exception {
        return authConfig.getAuthenticationManager();
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        // 此处配置你的过滤器链，添加自定义过滤器即可直接注入上面的AuthenticationManager
        return http.build();
    }
}

内容的提问来源于stack exchange，提问作者Amimul Ehsan Rahi