为何以下Spring Boot 2 Security基础认证配置未生效inMemoryAuthentication()？

你的inMemoryAuthentication()未生效主要有几个关键原因，我来逐一拆解：

1. 错误调用super.configure(http)覆盖了自定义配置 #

在你的configure(HttpSecurity)方法最后，你调用了super.configure(http)，这会直接覆盖你之前自定义的HTTP安全配置。WebSecurityConfigurerAdapter的默认configure(HttpSecurity)方法会启用表单登录而非你配置的HTTP Basic认证，同时会打乱你设置的权限校验规则，这是导致内存认证不生效的核心原因之一。

解决办法：直接删除这行super.configure(http)，让你的自定义配置完全接管安全规则。

修正后的configure(HttpSecurity)代码：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .csrf().disable()
        .httpBasic()
        .and()
        .authorizeRequests()
        .anyRequest().authenticated();
    // 移除 super.configure(http); 这行代码
}

2. inMemoryAuthentication()配置不完整（代码截断） #

从你贴出的代码来看，configure(AuthenticationManagerBuilder)方法里的auth.inMemoryAuthenticat...明显是截断状态。完整的内存认证配置必须明确指定用户账号、密码和角色，而且Spring Boot 2.x及后续版本要求密码必须经过PasswordEncoder处理（测试场景可以用{noop}前缀标记不加密的明文密码）。

完整的内存认证配置示例：

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
        // {noop}表示不加密密码，仅用于测试，生产环境禁止使用
        .withUser("admin")
        .password("{noop}admin123")
        .roles("ADMIN")
        .and()
        .withUser("user")
        .password("{noop}user123")
        .roles("USER");
}

3. 生产环境额外注意：配置正式的PasswordEncoder #

如果是生产环境，绝对不能用{noop}，需要配置一个安全的密码编码器Bean，比如BCrypt：

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

然后在内存认证中关联这个编码器：

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
        .passwordEncoder(passwordEncoder())
        .withUser("admin")
        .password("$2a$10$xxxx...") // 这里填BCrypt加密后的密码
        .roles("ADMIN");
}

把以上几点修正后，你的内存认证配置就能正常生效了。

内容的提问来源于stack exchange，提问作者ntviet18