Spring Boot REST应用能否为不同端点分别使用OAuth2与Basic认证？

当然可以！在Spring Security 2.0.1.RELEASE版本里，你完全可以为不同的REST端点配置差异化的认证方式，核心思路是通过多个HttpSecurity配置类分别定义不同路径的认证规则，利用@Order注解控制配置的匹配优先级。下面是具体的实现方案：

1. 核心原理：多配置类的优先级匹配 #

Spring Security允许创建多个继承WebSecurityConfigurerAdapter（或对应OAuth2的适配器）的配置类，通过@Order注解指定优先级——数值越小，优先级越高，会优先匹配对应的端点路径。这样就能让特定路径走Basic认证，剩余路径走OAuth2认证。

2. 配置Basic认证的端点 #

先创建一个优先级更高的配置类，专门处理需要Basic认证的路径：

import org.springframework.context.annotation.Configuration;
import org.springframework.core.annotation.Order;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

@Configuration
@Order(1) // 优先级高于OAuth2配置，优先匹配指定路径
public class BasicAuthSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable() // REST应用通常关闭CSRF保护
            .antMatchers("/api/public/**", "/health-check") // 定义使用Basic认证的端点
            .authorizeRequests()
                .anyRequest().authenticated()
            .and()
            .httpBasic(); // 启用Basic认证
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        // 示例：内存用户配置，实际项目可替换为数据库查询逻辑
        auth.inMemoryAuthentication()
            .passwordEncoder(new BCryptPasswordEncoder()) // 生产环境必须使用密码编码器
            .withUser("basic-admin")
            .password(new BCryptPasswordEncoder().encode("basic@123"))
            .roles("USER");
    }
}

注意：不要在生产环境使用{noop}明文密码，一定要搭配密码编码器（比如BCrypt）保证安全性。

3. 配置OAuth2认证的端点 #

接下来创建OAuth2资源服务器的配置类，处理剩余需要OAuth2认证的路径：

首先需要引入Spring Security OAuth2依赖（如果还没加的话）：

<dependency>
    <groupId>org.springframework.security.oauth</groupId>
    <artifactId>spring-security-oauth2</artifactId>
    <version>2.0.1.RELEASE</version>
</dependency>

然后编写配置类：

import org.springframework.context.annotation.Configuration;
import org.springframework.core.annotation.Order;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer;
import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter;
import org.springframework.security.oauth2.config.annotation.web.configurers.ResourceServerSecurityConfigurer;

@Configuration
@Order(2) // 优先级低于Basic认证配置，匹配剩余路径
@EnableResourceServer
public class OAuth2ResourceServerConfig extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
        resources.resourceId("my-rest-api"); // 资源ID需与授权服务器配置一致
    }

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .antMatchers("/api/secure/**") // 定义使用OAuth2认证的端点
            .authorizeRequests()
                .anyRequest().authenticated();
        // 默认会自动处理Bearer Token的验证逻辑，无需额外配置过滤器
    }
}

如果你的OAuth2使用JWT格式的Token，还需要添加JWT解码器配置：

import org.springframework.context.annotation.Bean;
import org.springframework.security.oauth2.jwt.JwtDecoder;
import org.springframework.security.oauth2.jwt.NimbusJwtDecoder;

@Bean
public JwtDecoder jwtDecoder() {
    // 替换为你的授权服务器JWKS端点或对称密钥
    return NimbusJwtDecoder.withJwkSetUri("https://your-auth-server/.well-known/jwks.json").build();
}

4. 全局默认配置（可选） #

如果有不需要认证的公共路径（比如文档、静态资源），可以创建一个无优先级的默认配置类：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
public class DefaultSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .authorizeRequests()
                .antMatchers("/", "/swagger-ui/**", "/v3/api-docs/**").permitAll(); // 允许匿名访问的路径
    }
}

5. 关键注意点 #

• 配置优先级：@Order数值越小，配置越先生效，务必让匹配更具体路径的配置（比如Basic认证的路径）优先级更高，避免被通用配置覆盖。
• 权限细化：如果需要对端点添加角色控制，可以在.authorizeRequests()后追加.hasRole("ADMIN")之类的规则。
• 授权服务器对齐：OAuth2的resourceId、JWT解码器配置必须与你的授权服务器保持一致，否则Token验证会失败。

这样配置完成后，访问/api/public/**和/health-check时会触发Basic认证弹窗，访问/api/secure/**时则需要携带OAuth2的Bearer Token才能通过认证。

内容的提问来源于stack exchange，提问作者Dullimeister