Spring Security 5响应式应用无日志输出问题排查求助

我之前也碰到过类似的情况，在响应式Spring Security环境下，日志配置和命令式Servlet栈的配置存在细微差异，结合你的场景，给你几个排查和解决的方向：

1. 补充响应式Security专属的日志包配置 #

在Spring Security 5.x的响应式实现中，WebFlux相关的核心安全逻辑都封装在org.springframework.security.web.server包下，而你当前只配置了通用的org.springframework.security日志级别，可能没有覆盖到响应式场景下的核心组件日志。

修改你的application.properties，添加响应式Security的日志配置：

logging.level.org.springframework.security=DEBUG
logging.level.org.springframework.security.web.server=DEBUG

这样就能覆盖到响应式安全链路中的认证、授权、请求拦截等关键步骤的日志输出。

2. 排查日志框架的自定义配置 #

如果你使用了自定义的日志配置文件（比如Logback的logback-spring.xml或Log4j2的log4j2-spring.xml），需要检查是否存在以下情况：

• 是否有规则过滤掉了DEBUG级别的日志输出
• 是否对org.springframework.security相关包设置了更低的日志级别（比如INFO）
• 是否配置了特定的Appender导致日志没有输出到你预期的位置

可以临时注释掉自定义日志配置，使用Spring Boot默认的日志配置来验证是否能正常输出Security日志，以此排除日志框架配置的干扰。

3. 确认响应式环境的依赖正确性 #

确保你的应用确实是纯响应式环境：

• 依赖中引入的是spring-boot-starter-webflux而非spring-boot-starter-web（两者不要同时引入，否则会自动切换到Servlet栈）
• 你的Security配置类是基于ReactiveSecurityConfigurerAdapter或SecurityWebFilterChain来构建的，而非Servlet栈的WebSecurityConfigurerAdapter

虽然你提到未认证访问会返回401，说明Security已经生效，但确认依赖和配置类的类型可以避免潜在的混合栈问题。

4. 验证日志配置的实际生效情况 #

除了通过Actuator端点验证配置，还可以在启动时观察日志中是否有类似如下的输出：

DEBUG org.springframework.security.web.server.SecurityWebFilterChain - Creating filter chain: ...

如果添加了org.springframework.security.web.server=DEBUG后能看到这类日志，说明配置已经生效。

内容的提问来源于stack exchange，提问作者Florian Beaufumé