Spring Boot Security多WebSecurityConfigurerAdapter认证策略不符合预期问题

我明白你的困扰：现在你配置了两套Security规则对应不同端点，但发送到/manage/**的请求在认证A失败后，居然会继续尝试认证B，完全不符合你「各端点只用对应认证」的预期。问题出在两个核心点：你的配置没有限定每个Security只处理自己的目标路径，以及AuthenticationProvider的supports方法过于宽松。

问题根源拆解 #

1. 过滤器链范围失控：你当前用antMatchers("/xxx/**").authenticated().anyRequest().permitAll()的写法，意味着每个Security配置会处理所有请求——先检查是否匹配目标路径，匹配则要求认证，不匹配则放行。但Spring Security的过滤器链是按@Order顺序执行的，第一个配置认证失败后，请求会流入第二个配置的链，哪怕路径不匹配，认证流程也会被触发，导致认证B被错误调用。
2. Provider的支持范围太广：两个AuthenticationProvider的supports方法都返回true，意味着它们会处理所有类型的Authentication请求，哪怕是不属于自己负责的端点请求，也会被尝试处理。

修复方案 #

我们要让每个Security配置精准绑定自己的路径范围，同时让每个Provider只处理对应的认证类型。

修改后的SecurityConfigA（对应/manage/**）

@Configuration
@Order(1)
@EnableWebSecurity
public class SecurityConfigA extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // 关键：用requestMatcher限定此配置仅处理/manage/**路径的请求
        http.requestMatcher(new AntPathRequestMatcher("/manage/**"))
            .csrf().disable()
            .authorizeRequests()
                // 已限定路径范围，直接要求所有请求必须认证
                .anyRequest().authenticated()
                .and()
            .httpBasic();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) {
        auth.authenticationProvider(new AuthenticationProvider() {
            @Override
            public boolean supports(Class<?> authentication) {
                // 仅支持HttpBasic对应的UsernamePasswordAuthenticationToken
                return UsernamePasswordAuthenticationToken.class.isAssignableFrom(authentication);
            }

            @Override
            public Authentication authenticate(Authentication auth) throws AuthenticationException {
                // 替换成你的认证A逻辑，失败直接抛出异常终止流程
                String username = auth.getName();
                String password = auth.getCredentials().toString();
                
                if (!"manage-admin".equals(username) || !"manage-secret".equals(password)) {
                    throw new BadCredentialsException("Invalid credentials for manage endpoints");
                }
                
                return new UsernamePasswordAuthenticationToken(username, password, Collections.emptyList());
            }
        });
    }
}

修改后的SecurityConfigB（对应/internal/**和/api/**）

@Configuration
@Order(2)
@EnableWebSecurity
public class SecurityConfigB extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // 用OrRequestMatcher同时匹配两个路径前缀
        http.requestMatcher(new OrRequestMatcher(
                new AntPathRequestMatcher("/internal/**"),
                new AntPathRequestMatcher("/api/**")
            ))
            .csrf().disable()
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .httpBasic();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) {
        auth.authenticationProvider(new AuthenticationProvider() {
            @Override
            public boolean supports(Class<?> authentication) {
                return UsernamePasswordAuthenticationToken.class.isAssignableFrom(authentication);
            }

            @Override
            public Authentication authenticate(Authentication auth) throws AuthenticationException {
                // 替换成你的认证B逻辑
                String username = auth.getName();
                String password = auth.getCredentials().toString();
                
                if (!"api-user".equals(username) || !"api-secret".equals(password)) {
                    throw new BadCredentialsException("Invalid credentials for api/internal endpoints");
                }
                
                return new UsernamePasswordAuthenticationToken(username, password, Collections.emptyList());
            }
        });
    }
}

为什么这样修改有效？ #

1. 精准的路径绑定：每个Security配置现在只会处理匹配自己路径的请求。比如/manage/test的请求只会进入SecurityConfigA的过滤器链，认证失败后直接返回401，不会再流入SecurityConfigB的流程。
2. 严格的Provider支持规则：每个Provider现在只处理HttpBasic认证对应的Token类型，避免了被其他认证流程误调用。
3. 简化的授权逻辑：因为已经用requestMatcher限定了路径范围，内部的anyRequest().authenticated()逻辑清晰，不需要再处理其他路径的放行规则。

额外补充（可选） #

如果你有不需要认证的公共路径，可以添加一个优先级更低（@Order(3)）的配置来处理：

@Configuration
@Order(3)
@EnableWebSecurity
public class SecurityConfigPublic extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .anyRequest().permitAll()
            .and().csrf().disable();
    }
}

内容的提问来源于stack exchange，提问作者mr nooby noob