Spring Authorization Server示例为何配置两个formLogin，自定义需修改哪个

问题1：为何示例需要配置两处formLogin()？ #

Spring Security 支持多过滤器链机制，不同的SecurityFilterChain会按照优先级高低匹配不同范围的请求，两处配置分别服务于不同的请求场景：

• 优先级最高的authorizationServerSecurityFilterChain仅匹配OAuth2授权服务器专属端点（比如授权端点/oauth2/authorize、令牌端点/oauth2/token等）。这里配置formLogin是为了保证用户访问授权相关端点时，如果未登录可以正常触发表单登录流程，否则未登录的授权请求会直接返回401错误，无法完成授权码流程的跳转逻辑。
• 优先级更低的defaultSecurityFilterChain是兜底过滤器链，负责处理所有没有被前一个过滤器链匹配到的请求（比如授权服务本身的管理页面、自定义业务接口等）。这里配置formLogin是为了保证这些普通业务请求未登录时，也能跳转到表单登录页。

如果只在任意一处配置formLogin，另一部分请求未登录时就无法触发正常的表单登录跳转，所以示例中做了两处配置。

问题2：自定义formLogin相关逻辑应该修改哪一处？ #

根据你的实际需求选择即可：

• 如果你需要让授权流程和普通业务流程使用两套不同的登录逻辑（比如授权场景用单独定制的登录页、不同的登录参数校验规则等），可以分别修改两处的formLogin配置：授权相关的登录逻辑改AuthorizationServerConfig.java里的配置，普通业务的登录逻辑改DefaultSecurityConfig.java里的配置。
• 如果你需要全局统一使用同一套登录逻辑，更推荐直接删除AuthorizationServerConfig.java里的formLogin配置，仅保留和修改DefaultSecurityConfig.java里的formLogin配置即可：未登录的授权端点请求会自动兜底到全局的登录配置，不需要重复配置。

内容的提问来源于stack exchange，提问作者Imtiaz Shakil Siddique