Spring Security：WebSecurityConfigurerAdapter与GlobalAuthenticationConfigurerAdapter的区别

安全阿岳

2026-5-22

哈哈，刚开始接触Spring Security的时候我也搞混过这俩家伙！其实它们虽然都和认证配置沾边，但职责分工完全不一样，咱们掰开来说：

核心区别：职责边界清晰不同

WebSecurityConfigurerAdapter：这货是管全局Web安全的大管家，不仅负责认证相关配置，还包揽了请求拦截规则（比如哪些路径直接放行、哪些需要特定权限）、CSRF防护、会话管理这些和Web场景强相关的安全配置。你继承它时，最常用的是重写configure(HttpSecurity http)来定义请求层面的安全策略，比如：
```
@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
        .antMatchers("/public/**").permitAll()
        .anyRequest().authenticated();
}
```
当然它也能配置UserDetailsService，但这只是它众多职责里的一小块。
GlobalAuthenticationConfigurerAdapter：这个是专门聚焦认证核心逻辑的“专精选手”，它的唯一使命就是统一配置全局的认证基础组件——比如UserDetailsService、PasswordEncoder、自定义AuthenticationProvider这些直接和用户身份校验挂钩的东西。它完全不管Web层面的拦截规则，只专注于“怎么验证用户身份是否合法”这件事。用法大概是这样：
```
@Configuration
public class AuthCoreConfig extends GlobalAuthenticationConfigurerAdapter {
    @Autowired
    private UserDetailsService customUserDetailsService;

    @Override
    public void init(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(customUserDetailsService)
            .passwordEncoder(new BCryptPasswordEncoder());
    }
}
```

为什么有些示例会同时继承这两个类？

这其实是Spring Security推荐的职责分离最佳实践：把Web层面的访问控制规则（比如哪些路径能进）和认证核心逻辑（比如怎么验证用户）拆分开，代码结构会更清晰，后续维护起来也更省心。就像你看到的示例那样，用GlobalAuthenticationConfigurerAdapter搞定用户校验的底层逻辑，用WebSecurityConfigurerAdapter定义前端请求的安全门槛，各司其职，互不干扰。

一句话总结

要配置请求拦截、CSRF、会话管理这类Web安全规则？找WebSecurityConfigurerAdapter。
只想专注于用户身份校验的核心逻辑（比如UserDetailsService、密码加密）？选GlobalAuthenticationConfigurerAdapter准没错。

内容的提问来源于stack exchange，提问作者Simo