Spring Boot 2.0.0中如何同时用OAuth2与HttpBasicAuth保护API及Swagger

嘿，我懂你现在的处境——用Spring Boot 2.0.0搭建REST API，OAuth2+JWT的安全机制跑起来没问题，但现在要给Swagger UI加上HttpBasic认证保护，不让随便人访问。你已经写了SecurityConfig的雏形，但大概率遇到了配置冲突或者规则不生效的情况对吧？

先把你给出的代码片段整理清楚：

@Configuration
@EnableWebSecurity
class SecurityConfig : WebSecurityConfigurerAdapter() {

    @Throws(Exception::class)
    override fun configure(web: WebSecurity) {
        web.ignoring()
        // 这里应该是你原本忽略的路径，但需要调整来兼容Swagger的认证
    }

    // 你可能还缺了HttpSecurity的配置逻辑
}

下面给你一套完整的解决方案，核心是针对不同路径匹配不同的安全规则：

核心思路 #

要让两种认证机制和平共处，关键是拆分规则：

• 对于业务API接口（比如/api/**），继续沿用OAuth2+JWT认证
• 对于Swagger相关的所有路径，单独启用HttpBasicAuth认证

完整的SecurityConfig配置 #

@Configuration
@EnableWebSecurity
class SecurityConfig : WebSecurityConfigurerAdapter() {

    // 配置Swagger专属的HttpBasic认证用户（示例用内存用户，生产建议从数据库/配置文件读取）
    @Autowired
    fun configureGlobal(auth: AuthenticationManagerBuilder) {
        auth.inMemoryAuthentication()
            .withUser("swagger_admin")
            .password("{noop}swagger_123") // Spring Boot 2.x必须指定密码编码器，{noop}表示明文（生产别用！）
            .roles("SWAGGER_ACCESS")
    }

    // 忽略无需认证的静态资源
    override fun configure(web: WebSecurity) {
        web.ignoring()
            .antMatchers("/webjars/**")
    }

    override fun configure(http: HttpSecurity) {
        // 先配置Swagger路径的HttpBasic规则（规则匹配是从上到下，所以Swagger规则要放前面）
        http.authorizeRequests()
            .antMatchers("/swagger-ui.html", "/swagger-resources/**", "/v2/api-docs").authenticated()
            .and()
            .httpBasic() // 启用HttpBasic弹窗认证
            .and()
            .csrf().disable() // Swagger UI不需要CSRF保护，禁用避免请求失败

        // 再配置API接口的OAuth2+JWT规则
        http.authorizeRequests()
            .antMatchers("/api/**").authenticated()
            .and()
            .oauth2ResourceServer()
            .jwt() // 绑定JWT作为OAuth2资源服务器的认证方式
    }

    // 自定义JWT解码器（示例用对称密钥，生产建议用非对称密钥）
    @Bean
    fun jwtDecoder(): JwtDecoder {
        return NimbusJwtDecoder.withSecretKey(SecretKeySpec("your-jwt-secret-key".toByteArray(), "HmacSHA256")).build()
    }

    // 生产环境必备：密码编码器（替换明文密码）
    @Bean
    fun passwordEncoder(): PasswordEncoder {
        return BCryptPasswordEncoder()
    }
}

关键注意事项 #

1. 密码编码器：示例里的{noop}是临时用的明文标识，生产环境一定要用BCryptPasswordEncoder，配置用户时改成password(passwordEncoder().encode("swagger_123"))
2. 路径覆盖：确保Swagger的所有相关路径都被包含，比如/swagger-ui.html、/swagger-resources/**、/v2/api-docs，漏了会导致部分Swagger资源无法正常加载
3. 规则顺序：HttpSecurity的规则是按顺序匹配的，Swagger的规则必须放在API规则前面，否则会被OAuth2的规则覆盖
4. CSRF禁用：Swagger UI的请求不需要CSRF令牌，禁用后能避免403错误

验证方式 #

启动应用后：

• 访问/swagger-ui.html会弹出HttpBasic认证框，输入配置的用户名密码才能进入
• 访问业务API（比如/api/user），必须携带有效的JWT令牌才能正常请求，否则返回401未授权

内容的提问来源于stack exchange，提问作者Jonathan Wiemers