管理端口与服务端口不同时RequestContextFilter未生效问题

我完全明白你碰到的这个棘手问题——默认情况下Spring Boot会把RequestContextFilter映射到/*，可一旦你把management.server.port和server.port设成不同值，这个过滤器就完全不管管理端点的请求了，这直接打乱了你用OAuth2统一保护所有应用和管理端点的计划，毕竟Spring Security在不少场景下都依赖请求作用域的OAuth2ClientContext，而这玩意儿的正常工作离不开RequestContextFilter的支持。

下面是亲测有效的解决办法：

1. 手动将RequestContextFilter注册到管理端点的过滤器链 #

当你启用独立的管理端口时，Spring Boot会为Actuator端点创建一个独立的Web上下文和过滤器链，默认的RequestContextFilter只在主应用的上下文里，所以我们得手动把它加到管理端点的链中。创建一个配置类：

import org.springframework.boot.actuate.autoconfigure.web.server.ManagementServerProperties;
import org.springframework.boot.web.servlet.FilterRegistrationBean;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.core.Ordered;
import org.springframework.web.filter.RequestContextFilter;

@Configuration
public class ManagementRequestContextConfig {

    @Bean
    public FilterRegistrationBean<RequestContextFilter> managementRequestContextFilter(
            ManagementServerProperties managementServerProperties) {
        RequestContextFilter filter = new RequestContextFilter();
        FilterRegistrationBean<RequestContextFilter> registrationBean = new FilterRegistrationBean<>(filter);
        
        // 映射到管理端点的所有路径（包含上下文路径，如果配置了的话）
        String managementPath = managementServerProperties.getServlet().getContextPath() + "/*";
        registrationBean.addUrlPatterns(managementPath);
        
        // 设置最高优先级，确保在Spring Security过滤器之前执行，保证上下文先初始化
        registrationBean.setOrder(Ordered.HIGHEST_PRECEDENCE);
        return registrationBean;
    }
}

2. 确保Spring Security配置覆盖所有端点 #

你的Security配置要同时包含应用端点和管理端点的授权规则，比如：

import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                // 保护所有应用路径和管理端点路径
                .antMatchers("/**", "/actuator/**").authenticated()
                .and()
            // 配置OAuth2客户端和登录逻辑
            .oauth2Client()
                .and()
            .oauth2Login();
    }
}

3. 验证解决方案 #

启动应用后，访问任意管理端点（比如http://<你的管理端口>/actuator/health），可以通过调试查看RequestContextHolder是否能获取到当前请求，或者添加日志确认RequestContextFilter已经处理了管理端点的请求。此时OAuth2ClientContext应该能正常获取到请求作用域的上下文，Spring Security的授权逻辑也能正常工作了。

补充说明 #

这个问题的根源在于：当使用独立的管理端口时，Spring Boot会初始化两个独立的Web上下文——主应用上下文和管理端点上下文。默认的RequestContextFilter是注册在主应用上下文的，不会自动被管理端点上下文继承，所以必须手动注册到管理端点的过滤器链中，才能让它作用于管理URL。

内容的提问来源于stack exchange，提问作者Davy Steegen