Spring Boot Security多认证方式优先级配置问题（Basic Auth/OAuth）

嘿，我来帮你拆解下你遇到的这个Spring Security配置问题，你碰到的其实是过滤器链优先级和路径匹配的典型坑，咱们一步步理清楚：

1. 你的配置方式是否正确？ #

整体思路没问题——用嵌套的@Configuration类继承WebSecurityConfigurerAdapter，再通过@Order指定优先级来实现不同端点的认证策略。但有两个关键细节你可能没注意到，这才导致了异常：

• 每个配置类必须明确指定匹配路径：你得给每个安全适配器用antMatcher()（或者更精准的mvcMatcher()）划定它负责处理的请求范围，比如Basic Auth的配置里要加上.antMatcher("/basic/auth/**")，OAuth的加上.antMatcher("/application/secure/**")。要是不指定，每个适配器都会匹配所有请求，这时候优先级高（@Order数值更小）的适配器会先把所有请求处理完，后面的适配器根本没机会生效。
• @Order的数值逻辑要搞对：Spring Security的过滤器链是按@Order数值从小到大执行的，数值越小，优先级越高。

2. 优先级为3的安全适配器是什么？ #

这个优先级对应的是Spring Security默认注册的基础认证过滤器链，它的优先级由SecurityProperties.BASIC_AUTH_ORDER定义，数值就是3。当你加了@EnableWebSecurity注解后，这个默认链会自动被注册，除非你用自定义的适配器完全覆盖了所有请求路径的处理逻辑。

这也解释了为什么你设置@Order(3)会报错——默认链已经占了这个优先级位置了。

3. 它会不会阻止Basic Auth生效？ #

肯定会！当你的Basic Auth适配器@Order(10)比默认链的3大时，默认链会先执行。如果默认链没被你的自定义配置限制路径，它会拦截所有请求并应用默认的安全规则，你的Basic Auth适配器根本碰不到/basic/auth路径的请求，自然没法生效。

而当你把适配器设为@Order(1)和@Order(4)时就正常了：

• @Order(1)的Basic Auth适配器优先级比默认链高，会先处理/basic/auth的请求；
• @Order(4)的OAuth适配器优先级比默认链低，但只要你给它指定了/application/secure/**的匹配路径，默认链就不会插手这些路径的处理，所以OAuth能正常工作。

给你修正后的配置示例 #

@Configuration
@EnableWebSecurity
public class WebSecurityConfig {

    @Order(1)
    @Configuration
    public class BasicAuthConfig extends WebSecurityConfigurerAdapter {
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                .antMatcher("/basic/auth/**") // 明确指定该配置负责的路径
                .authorizeRequests()
                .anyRequest().authenticated()
                .and()
                .httpBasic(); // 启用Basic Auth认证
        }
    }

    @Order(2)
    @Configuration
    public class OAuthConfig extends WebSecurityConfigurerAdapter {
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                .antMatcher("/application/secure/**") // 明确指定该配置负责的路径
                .authorizeRequests()
                .anyRequest().authenticated()
                .and()
                .oauth2ResourceServer() // 启用OAuth2资源服务器模式
                .jwt(); // 这里假设你用JWT，根据实际OAuth配置调整
        }
    }

    @Order(3)
    @Configuration
    public class CustomSecurityConfig extends WebSecurityConfigurerAdapter {
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                .antMatcher("/application/secure2/**") // 明确指定该配置负责的路径
                .authorizeRequests()
                .anyRequest().authenticated()
                .and()
                // 这里添加你的自定义安全实现，比如自定义过滤器
                .addFilterBefore(new CustomAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
        }
    }
}

额外小提示 #

• 要是想确认所有注册的过滤器链，可以加@EnableWebSecurity(debug = true)开启调试模式，这样就能在日志里看到每个链的优先级和匹配路径了。
• 建议用连续的小数值或者5步长的@Order值，既避免和默认优先级冲突，又能预留扩展空间。

内容的提问来源于stack exchange，提问作者monti