Spring Boot Security多配置问题：REST API错误认证返回表单登录页

你遇到的这个问题核心在于重复调用exceptionHandling()导致认证入口点（AuthenticationEntryPoint）的配置被覆盖了。让我拆解下你的配置问题：

在RestWebSecurityConfigurationAdapter里，你分两次调用了exceptionHandling()：

.exceptionHandling().authenticationEntryPoint(new HttpStatusEntryPoint(UNAUTHORIZED))
.and()
.exceptionHandling().accessDeniedHandler(restAccessDeniedHandler)

Spring Security的HttpSecurity配置是链式调用逻辑，每次调用exceptionHandling()都会返回同一个ExceptionHandlingConfigurer实例，但分开写的话，第二次调用会重置配置上下文，导致第一次设置的authenticationEntryPoint被覆盖。这就使得Basic Auth认证失败时，系统没有使用你指定的HttpStatusEntryPoint返回401，而是 fallback 到了Form配置里的认证入口——也就是跳转到登录页面。

修复后的完整配置代码 #

把exceptionHandling的配置合并成链式调用，确保两个处理器都能被正确注册：

@EnableWebSecurity 
public class MultiHttpSecurityConfig { 
    @Autowired 
    private static RestAuthenticationAccessDeniedHandler restAccessDeniedHandler; 

    @Autowired 
    public void configureAuth(AuthenticationManagerBuilder auth) throws Exception{ 
        auth.inMemoryAuthentication() 
            .withUser("admin").password("{noop}12345678").roles("ADMIN").and() 
            .withUser("user").password("{noop}12345678").roles("USER"); 
    } 

    @Configuration 
    @Order(1) 
    public static class RestWebSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter { 
        protected void configure(HttpSecurity http) throws Exception { 
            http 
                .antMatcher("/restapi/**") 
                .authorizeRequests()
                    .antMatchers(HttpMethod.GET, "/restapi/**").permitAll() 
                    .anyRequest().authenticated() 
                .and() 
                .httpBasic() 
                .and() 
                .csrf().disable() 
                .exceptionHandling() // 仅调用一次exceptionHandling()
                    .authenticationEntryPoint(new HttpStatusEntryPoint(HttpStatus.UNAUTHORIZED)) 
                    .accessDeniedHandler(restAccessDeniedHandler); // 链式添加权限不足处理器
        } 
    } 

    @Configuration 
    public static class FormWebSecurityConfigurerAdapter extends WebSecurityConfigurerAdapter { 
        @Override 
        protected void configure(HttpSecurity http) throws Exception { 
            http 
                .authorizeRequests() 
                    .antMatchers("/css/**", "/img/**", "/js/**", "/index.html", "/").permitAll() 
                    .anyRequest().authenticated() 
                .and() 
                .formLogin() 
                    .loginPage("/login") 
                    .permitAll() 
                .and() 
                .logout() 
                    .logoutUrl("/logout") 
                    .logoutSuccessUrl("/index.html") 
                    .permitAll(); 
        } 
    } 
}

额外注意点 #

1. 确保HttpStatus.UNAUTHORIZED已正确导入（org.springframework.http.HttpStatus），避免编译错误；
2. @Order(1)的配置是正确的，它保证REST API的安全规则会优先于Form登录规则被处理；
3. 合并后的配置会同时生效两个处理器：
   • 未携带Basic Auth头/凭证错误时，返回401 Unauthorized状态码；
   • 用户已认证但权限不足时，触发你自定义的restAccessDeniedHandler逻辑。

修改后再用Postman测试错误的Basic Auth请求，就能得到预期的401响应，不会再跳转到登录页面了。

内容的提问来源于stack exchange，提问作者Peter Andres