Spring Boot中Swagger-UI的Spring Security Basic认证配置无效排查

看起来你的配置里有几个容易疏漏的点，咱们一步步排查和修复：

1. 确保Spring Security配置类生效 #

首先检查你的Security配置类是否添加了@EnableWebSecurity注解——这个注解是启用Spring Security核心拦截逻辑的关键，如果没加的话，你的所有配置都不会生效，自然不会触发认证拦截。

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    // 你的configure方法...
}

2. 完善Swagger的Security上下文关联配置 #

你提到已经配置了securitySchemes和securityContexts，但没展示具体实现。这两个配置需要正确关联，才能让Swagger UI识别哪些API需要应用Basic认证。以下是标准的完整实现示例：

private List<SecurityScheme> auth() {
    // 定义Basic认证方案，名称要和后续SecurityReference的引用一致
    return Collections.singletonList(new BasicAuth("basicAuth"));
}

private List<SecurityContext> securityContexts() {
    return Collections.singletonList(
        SecurityContext.builder()
            .securityReferences(defaultAuth())
            .forPaths(PathSelectors.any()) // 指定所有Swagger文档中的API都需要认证
            .build()
    );
}

private List<SecurityReference> defaultAuth() {
    AuthorizationScope authorizationScope = new AuthorizationScope("global", "accessEverything");
    AuthorizationScope[] scopes = new AuthorizationScope[]{authorizationScope};
    // 关联前面定义的"basicAuth"认证方案
    return Collections.singletonList(new SecurityReference("basicAuth", scopes));
}

这里要注意：SecurityReference里的名称必须和BasicAuth的名称完全匹配，否则Swagger无法识别并应用认证规则。

3. 明确指定Spring Security拦截Swagger相关端点 #

你的当前配置anyRequest().authenticated()理论上会拦截所有请求，但为了避免Spring Boot静态资源规则的潜在影响，可以显式指定Swagger的关键端点需要认证：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .csrf().disable()
        .authorizeRequests()
        // 显式声明Swagger相关路径必须认证
        .antMatchers("/swagger-ui.html", "/v2/api-docs", "/swagger-resources/**", "/webjars/**").authenticated()
        .anyRequest().authenticated()
        .and()
        .httpBasic();
}

4. 补充用户认证信息（必备步骤） #

别忘了配置可用于认证的用户信息，比如在Security配置里添加内存用户（生产环境建议使用数据库存储+加密）：

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
        .withUser("admin")
        .password("{noop}admin123") // {noop}表示不加密，生产环境替换为BCrypt等加密算法
        .roles("ADMIN");
}

最后验证 #

完成配置后重启应用，用无痕模式访问/swagger-ui.html——此时应该会弹出Basic认证对话框，输入配置的用户名和密码后，才能正常查看Swagger文档和调试API。

内容的提问来源于stack exchange，提问作者Хамидилло Мамытов