Spring Security 6.5.0：XML配置中authorizeRequests弃用警告如何解决？

目前Spring Security的XML命名空间尚未提供对应Java配置里authorizeHttpRequests的原生标签，官方文档中的<intercept-url>会被内部转换为已弃用的authorizeRequests逻辑，这就是警告产生的核心原因。6.5.0的发布说明和迁移指南里确实没有针对XML场景给出直接替代方案，但可以通过混合少量Java配置的折中方式解决，无需全量迁移或屏蔽警告：

折中方案：用少量Java代码替换授权逻辑 #

保留现有XML配置主体，仅通过一个Java配置类构建基于authorizeHttpRequests的SecurityFilterChain，替代原XML中的<intercept-url>授权规则：

1. 新建Java配置类，定义新的授权规则：

import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;

public class CustomSecurityFilterChainConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            // 使用推荐的authorizeHttpRequests API
            .authorizeHttpRequests(auth -> auth
                // 替换为你原XML中的拦截规则示例
                .requestMatchers("/public/**", "/login").permitAll()
                .anyRequest().authenticated()
            )
            // 登录、登出等逻辑可在此配置，或保留XML中的对应配置
            .formLogin(form -> form.permitAll())
            .logout(logout -> logout.permitAll());
        
        return http.build();
    }
}

2. 在XML配置中引入该Java类，同时移除原<http>标签内的<intercept-url>及相关授权配置：

<!-- 引入Java配置类 -->
<bean class="com.yourproject.config.CustomSecurityFilterChainConfig"/>

<!-- 保留XML中的其他安全配置，比如用户认证、密码编码器等 -->
<authentication-manager>
    <authentication-provider>
        <user-service>
            <user name="admin" password="{bcrypt}$2a$10..." authorities="ROLE_ADMIN"/>
            <user name="user" password="{bcrypt}$2a$10..." authorities="ROLE_USER"/>
        </user-service>
    </authentication-provider>
</authentication-manager>

关键注意事项 #

• 确保XML中的<http>块与Java配置的SecurityFilterChain无冲突，建议移除XML中<http>内的授权相关配置（如<intercept-url>、<access-decision-manager>等）。
• 原有XML中的CSRF、CORS、异常处理器等配置可继续保留，Spring Security会自动合并兼容的配置项。

这个方案既不用全量迁移到Java配置，也无需屏蔽警告，仅通过少量代码替换掉产生警告的授权逻辑部分，同时保留现有XML配置主体。

内容的提问来源于stack exchange，提问作者Philipp del