pac4j如何将AnonymousClient设为直接/间接客户端的兜底鉴权方案？

1. 客户端执行顺序规则 #

DefaultSecurityLogic 会严格遵循你传入的clients列表的先后顺序尝试认证：逐个匹配适用的客户端执行认证逻辑，只要某一个客户端成功返回有效用户profile，就终止后续客户端的执行。
你首先要把客户端按优先级排序：JwtClient（直接客户端）排最前，其次是你用到的间接客户端，最后放AnonymousClient作为兜底。

2. 解决直接客户端认证失败中断问题 #

默认配置下JwtClient认证失败（请求无有效JWT）不会中断流程，只要你没有手动给JwtClient开启setAuthenticationRequired(true)即可。该配置开启后会在JWT认证失败时直接返回401，不会走后续客户端，保持默认值false即可，无有效JWT时会自动跳过JwtClient，尝试列表里的下一个客户端。

3. 适配AJAX请求过滤间接客户端 #

你需要自定义ClientSelector实现请求类型判断，动态调整要执行的客户端列表：

public class CustomClientSelector implements ClientSelector {
    @Override
    public List<Client> select(List<Client> clients, WebContext context, SessionStore sessionStore) {
        // 判断是否为AJAX请求
        boolean isAjax = "XMLHttpRequest".equals(context.getRequestHeader("X-Requested-With").orElse(""));
        if (isAjax) {
            // AJAX请求仅保留直接客户端和兜底的AnonymousClient
            return clients.stream()
                    .filter(client -> client instanceof DirectClient || client instanceof AnonymousClient)
                    .toList();
        }
        // 非AJAX请求返回全量客户端，按原有优先级执行
        return clients;
    }
}

之后将自定义选择器注入到DefaultSecurityLogic中：

DefaultSecurityLogic securityLogic = new DefaultSecurityLogic();
securityLogic.setClientSelector(new CustomClientSelector());

4. 关于setProfileFactoryWhenNotAuthenticated不生效的说明 #

该配置确实仅适用于间接客户端的认证流程：只有当间接客户端的认证跳转流程触发后，用户未完成登录时才会调用该工厂生成匿名profile，它不会作用于直接客户端场景，也不会在间接客户端压根没被触发的场景生效，完全不适合你这种全链路兜底的需求。

最终效果验证 #

按上述配置后会完全匹配你的需求：

• AJAX请求：优先走JwtClient认证，有有效JWT返回登录态profile，无有效JWT直接走最后兜底的AnonymousClient返回匿名profile
• 非AJAX请求：优先走JwtClient认证，无有效JWT时走间接客户端认证流程，间接客户端也未登录的情况下，最后走AnonymousClient返回匿名profile

内容的提问来源于stack exchange，提问作者stackoverflowed