Spring Security同时配置Basic Auth与OAuth不生效问题如何解决

问题根源 #

你的配置存在两个核心错误导致认证逻辑冲突：

• 重复调用authorizeRequests()方法，后一次的权限规则会完全覆盖前一次的配置，且规则本身存在逻辑冲突（你同时配置了/**全路径放行和anyRequest().authenticated()，规则优先级混乱）
• 未配置多认证方式的入口点委派逻辑，Spring Security默认未认证请求会优先触发OAuth2登录重定向，不会识别Basic认证的凭证，也不会兼容已通过Basic认证的登录态

正确调整方案 #

1. 合并权限规则，不要重复配置authorizeRequests
2. 配置DelegatingAuthenticationEntryPoint实现多认证入口点的按需触发：如果请求携带Basic认证头、或是API类请求（返回JSON格式）则走Basic认证逻辑，其他场景走OAuth2登录流程
3. 确保两种认证方式生成的用户权限标识统一（Basic认证的USER/ADMIN权限要和OAuth2登录后映射的权限字段一致）

调整后的配置代码示例：

@Override
protected void configure(HttpSecurity http) throws Exception {
    // 配置Basic认证入口点
    BasicAuthenticationEntryPoint basicEntryPoint = new BasicAuthenticationEntryPoint();
    basicEntryPoint.setRealmName("YourAppRealm");

    // 配置委派入口点规则
    LinkedHashMap<RequestMatcher, AuthenticationEntryPoint> entryPoints = new LinkedHashMap<>();
    // 携带Basic认证头的请求走Basic认证
    entryPoints.put(new RequestHeaderRequestMatcher("Authorization", "Basic *"), basicEntryPoint);
    // 默认其他请求走OAuth2登录
    DelegatingAuthenticationEntryPoint entryPoint = new DelegatingAuthenticationEntryPoint(entryPoints);
    entryPoint.setDefaultEntryPoint(new OAuth2AuthenticationEntryPoint());

    http
        .csrf().disable()
        .exceptionHandling()
        .authenticationEntryPoint(entryPoint) // 绑定多入口点配置
        .and()
        // 统一权限规则
        .authorizeRequests()
            .antMatchers("/", "/register", "/login", "/logout").permitAll()
            .antMatchers(HttpMethod.GET).hasAnyAuthority("USER", "ADMIN")
            .antMatchers("/product/**").hasAnyAuthority("ADMIN")
            .anyRequest().authenticated()
        .and()
        // 同时启用两种认证方式
        .httpBasic()
            .authenticationEntryPoint(basicEntryPoint)
        .and()
        .oauth2Login()
        .and()
        .logout()
            .logoutUrl("/j_spring_security_logout")
            .logoutSuccessUrl("/");
}

额外注意点 #

• 如果你要区分接口和页面访问的认证逻辑，可以给所有API接口统一加/api前缀，在入口点规则里匹配路径前缀走Basic认证，页面访问走OAuth2登录，逻辑会更清晰
• 需要确保OAuth2登录成功后，用户的权限映射逻辑和Basic认证的权限体系一致，否则会出现登录成功但没有权限访问接口的问题

内容的提问来源于stack exchange，提问作者Chakresh Tiwari