Spring Boot多安全认证配置下2FA自定义Provider失效问题咨询

问题根源 #

你遇到的问题是Spring Security多安全配置场景下的典型共性问题：

• 默认所有WebSecurityConfigurerAdapter子配置会共享全局父ProviderManager，你在各个子配置中注册的AuthenticationProvider会被统一累加到全局管理器中，导致配置之间的认证逻辑无法隔离
• ProviderManager默认处理规则为：仅当Provider抛出账号状态类异常（禁用、锁定等）时直接终止流程，遇到BadCredentialsException时会继续轮询下一个支持当前认证类型的Provider。你在Form配置中同时注册了自定义2FA Provider和默认的DaoAuthenticationProvider，前者2FA校验失败抛错后，后者会继续仅校验账号密码就通过认证，完全跳过2FA逻辑

解决方案 #

1. 为每个安全配置启用独立认证管理器，切断全局关联 #

在每个子配置类的configure(AuthenticationManagerBuilder auth)方法第一行添加auth.parentAuthenticationManager(null)，让每个配置使用独立的Provider列表，不会累加其他配置的Provider。

2. 移除Form配置中多余的默认Provider注册逻辑 #

你的自定义2FA Provider已经内部实现了密码校验、2FA校验的完整逻辑，不需要Spring再自动生成默认的DaoAuthenticationProvider，删除Form配置中多余的userDetailsService、passwordEncoder注册代码。

修改后的Form配置认证部分代码如下：

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    // 切断与全局认证管理器的继承关系，使用独立Provider列表
    auth.parentAuthenticationManager(null)
        // 仅保留自定义2FA Provider
        .authenticationProvider(mfaAuthenticationProvider);
}

3. （可选）自定义2FA异常强制终止认证流程 #

如果存在特殊场景需要在同一个配置中保留多个Provider，可自定义2FA校验失败的异常类，替代默认的BadCredentialsException，触发ProviderManager的终止逻辑：

// 自定义异常类
public class MfaVerificationFailedException extends AuthenticationException {
    public MfaVerificationFailedException(String msg) {
        super(msg);
    }
}

在2FA Provider中2FA校验失败时抛出自定义异常即可：

if(!googleAuthenticator.authorizeUser(user.getUsername(), Integer.parseInt(verficationCode))){
    throw new MfaVerificationFailedException("Invalid verification code.");
}

效果验证 #

修改完成后三套配置的认证逻辑完全隔离，Form登录场景下仅会调用自定义2FA Provider，2FA校验失败时直接返回错误，不会再出现跳过2FA直接认证通过的问题，不需要额外的2FA过滤器，前端可直接在登录页同时提交账号、密码、2FA验证码即可。

内容的提问来源于stack exchange，提问作者drstruggle