Spring Boot同时配置Basic Auth与OAuth2登录类型转换错误如何解决

错误原因 #

类型转换异常的核心原因有两个：

1. 你把Basic Auth和OAuth2登录的逻辑配置在了同一个安全过滤器链中，共享了全局的CookieSecurityContextRepository、用户类型预期、异常处理逻辑，Basic Auth认证成功后默认返回Spring内置的org.springframework.security.core.userdetails.User类型实例，和你业务代码期望的CustomOidcUser类型不兼容，触发转换失败。
2. 同一条安全链中认证规则的优先级匹配逻辑也会出现混乱，你新增的Basic Auth规则校验通过后，依然会走后续OAuth2的认证逻辑二次校验。

解决方案 #

Spring Security支持配置多条独立的安全过滤器链，你只需要给Basic Auth的URL单独配置优先级更高的独立安全链，和原有OAuth2逻辑完全隔离即可。

步骤1：清理原有单链的冗余配置

删除你原来configure(HttpSecurity http)方法里新增的Basic Auth两行配置，以及全局的configureGlobal方法，避免和后续的独立链配置冲突。

步骤2：新增Basic Auth专属安全链

单独新建一个配置类，仅匹配需要Basic Auth的URL，自己管理认证逻辑，直接返回CustomOidcUser类型的用户实例避免类型转换问题：

@Configuration
@Order(1) // 优先级高于原有OAuth2安全链，优先匹配Basic Auth路径
public class BasicAuthSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // 仅匹配需要Basic Auth保护的URL
        http.antMatcher(Constants.AUTHENTICATED_WITH_BASIC_AUTH)
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and().authorizeRequests().anyRequest().authenticated()
            // 单独配置当前链的Basic Auth
            .and().httpBasic()
            // 单独配置Basic Auth的异常处理，不共用OAuth2的EntryPoint
            .and().exceptionHandling().authenticationEntryPoint(new BasicAuthenticationEntryPoint())
            // 用空安全上下文存储，不共用主链的Cookie存储
            .and().securityContext().securityContextRepository(new NullSecurityContextRepository())
            // 禁用不需要的功能，避免和主链冲突
            .and().csrf().disable()
            .formLogin().disable()
            .oauth2Login().disable();
    }

    // 当前链单独使用自己的认证逻辑，不和主链共享
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("myUser")
                .password("{noop}1234")
                .authorities("ROLE_USER")
                // 直接构造你需要的CustomOidcUser返回，避免类型转换
                .userDetailsService(username -> {
                    // 自行补全CustomOidcUser的必填属性、权限即可
                    CustomOidcUser user = new CustomOidcUser();
                    user.setName(username);
                    user.setAuthorities(AuthorityUtils.createAuthorityList("ROLE_USER"));
                    return user;
                });
    }
}

步骤3：调整原有OAuth2安全链配置

原有OAuth2的配置只需要加一个更低的优先级注解即可，其余代码不用改：

@Configuration
@Order(2) // 优先级低于Basic Auth链，匹配除了免登录、Basic Auth之外的所有路径
public class Oauth2SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // 原有配置原样保留即可
        http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and().authorizeRequests().antMatchers(Constants.ALLOWED_WITHOUT_AUTHENTICATION).permitAll()
            .and().securityContext().securityContextRepository(new CookieSecurityContextRepository(authCookieHelper))
            .and().authorizeRequests().antMatchers("/**").authenticated()
            .and().oauth2Login().userInfoEndpoint().oidcUserService(oidcUserService).customUserType(CustomOidcUser.class, "customUser")
            .and().defaultSuccessUrl(authSuccessURL, true).failureUrl(userNotAuthenticatedURL)
            .and().exceptionHandling().authenticationEntryPoint(getAuthenticationEntryPoint());
    }
}

适配高版本Spring Security说明 #

如果你使用的是Spring Security 5.7+版本，WebSecurityConfigurerAdapter已被废弃，只需要把两个配置类的逻辑改成注册SecurityFilterChain Bean即可，隔离逻辑完全一致。

内容的提问来源于stack exchange，提问作者reiley