疑问：Spring Security为何仅能与Spring Boot配合使用？附相关配置

首先得明确说清楚——Spring Security完全可以脱离Spring Boot独立使用，它从诞生之初就是为整个Spring生态设计的，包括传统的Spring MVC项目。你目前写的AbstractSecurityWebApplicationInitializer和WebSecurityConfigurerAdapter配置，其实就是传统Spring MVC中配置Spring Security的标准方式，只是可能你在配置过程中遇到了一些问题，才误以为它只能和Boot搭配。

接下来我帮你梳理一下传统Spring MVC项目中配置Spring Security的完整流程，以及可能导致你产生误解的常见问题：

一、传统Spring MVC中配置Spring Security的正确步骤 #

1. 引入依赖（无需Spring Boot Starter） #

如果你用Maven，直接引入Spring Security的核心依赖即可，不需要依赖Spring Boot的starter：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>5.7.6</version> <!-- 请选择和你的Spring Core版本兼容的版本 -->
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-config</artifactId>
    <version>5.7.6</version>
</dependency>

2. 注册Spring Security过滤器 #

你写的SecurityWebInitializer是完全正确的，这个类会自动把Spring Security的核心过滤器链注册到Servlet容器中，不需要额外在web.xml中配置：

public class SecurityWebInitializer extends AbstractSecurityWebApplicationInitializer { }

3. 编写安全配置类 #

你的SecurityConfiguration框架也是对的，补充完整的示例（比如内存认证+表单登录）：

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Autowired
    public void configAuthentication(AuthenticationManagerBuilder auth) throws Exception {
        // 示例：内存中存储用户信息，仅用于测试
        auth.inMemoryAuthentication()
            .withUser("regularUser")
            .password("{noop}user123") // {noop}表示不加密密码，生产环境请用BCrypt等加密方式
            .roles("USER");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .anyRequest().authenticated() // 所有请求都需要认证
            .and()
            .formLogin() // 启用默认表单登录页面
            .permitAll(); // 登录页面允许匿名访问
    }
}

4. 确保Spring上下文加载配置类 #

这一步很关键，如果你的Spring容器没加载到上面的SecurityConfiguration，配置就不会生效：

• 如果你用JavaConfig配置Spring MVC：确保你的根配置类（比如AppConfig）用@ComponentScan扫描到了SecurityConfiguration所在的包：

@Configuration
@ComponentScan(basePackages = "com.yourproject") // 替换成你的项目包路径
public class AppConfig {
    // 可以添加其他Spring配置，比如数据源、视图解析器等
}

• 如果你用web.xml配置：需要在contextConfigLocation中指定安全配置类的全路径：

<context-param>
    <param-name>contextClass</param-name>
    <param-value>org.springframework.web.context.support.AnnotationConfigWebApplicationContext</param-value>
</context-param>
<context-param>
    <param-name>contextConfigLocation</param-name>
    <param-value>com.yourproject.SecurityConfiguration com.yourproject.AppConfig</param-value>
</context-param>

<listener>
    <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
</listener>

二、你可能产生误解的常见原因 #

1. 依赖引入错误：如果不小心只引入了spring-boot-starter-security而没有单独的Spring Security依赖，那确实只能在Spring Boot项目中运行，但这是依赖选择的问题，不是Spring Security本身的限制。
2. 上下文加载失败：如果你的Spring容器没加载到安全配置类，会导致配置不生效，让你误以为Spring Security在非Boot项目中无法工作。
3. 版本兼容问题：Spring和Spring Security的版本必须匹配，如果版本不兼容，可能出现各种奇怪的错误，影响功能正常运行。
4. Spring Boot的自动配置太便捷：因为Spring Boot提供了大量自动配置，只需要引入starter就能快速启用Spring Security，这让很多人误以为它是Boot专属的，但其实自动配置只是Spring Boot的特性，不是Spring Security的要求。

总结 #

Spring Security是一个独立的Spring生态组件，支持所有Spring Web应用（包括传统Spring MVC、Spring WebFlux等），Spring Boot只是简化了它的配置流程。如果你的当前配置不生效，建议检查依赖是否正确、Spring上下文是否加载了安全配置类、版本是否兼容这几个关键点。

内容的提问来源于stack exchange，提问作者Daimon