无法在自定义Spring Boot启动器中使用WebSecurity配置适配器

Question

我试图通过定义从WebSecurityConfigureAdapter扩展而来的配置类，为我的自定义安全配置（LDAP JWT）创建自己的spring启动程序。但是，当我使用此初学者启动应用程序时，我会得到：

IllegalStateException: Found WebSecurityConfigurerAdapter as well as SecurityFilterChain.
Please select just one.

我发现由于Spring Security性的这个问题，不再可能这样做了。Spring的WebSecurityConfiguration中有一个断言：

我解决了这个问题，在启动器中添加了以下内容（根据问题）：

@Bean
@Order(1) //Explanation for this below
open fun filterChain(http: HttpSecurity, jwtHelper: JwtHelper): SecurityFilterChain {
    return http.authorizeRequests()
           ...
               .addFilterBefore(JwtAuthenticationFilter(jwtHelper), UsernamePasswordAuthenticationFilter::class.java)
               .and().build()
}

@Bean
open fun authenticationProvider(ldapConfig: LdapConfig): ActiveDirectoryLdapAuthenticationProvider {
    return ActiveDirectoryLdapAuthenticationProvider(...)
}

我添加了@order（1），因为有两个securityFilterChains：mine（在上面的配置中定义）和另一个来自未知来源的。我想，后者是无法使用WebSecurityConfigrerAdapter的原因。

我假设，正因为如此，我也不能使用@EnableGlobalMethod odSecurity（prePostEnable=true）。它说：

Cannot apply org.springframework.security.config.annotation.authentication.configuration.AuthenticationConfiguration$EnableGlobalAuthenticationAutowiredConfigurer
to already built object

这是我的依赖列表：

1. 具有启动器使用的模型的模块（名称：my-ldap-security-model）：

dependencies {
    compileOnly 'org.springframework.security:spring-security-core'
    compileOnly 'org.springframework:spring-web'
    compileOnly 'javax.servlet:javax.servlet-api'
    api 'jakarta.xml.bind:jakarta.xml.bind-api'
    api 'org.glassfish.jaxb:jaxb-runtime'
    api 'io.jsonwebtoken:jjwt'
}

dependencies {
    compile project(':my-ldap-security-model')
    compileOnly 'javax.servlet:javax.servlet-api'
    api 'org.springframework.security:spring-security-core'
    api 'org.springframework.security:spring-security-config'
    api 'org.springframework.security:spring-security-web'
    api 'org.springframework:spring-web'
    api 'org.springframework.security:spring-security-ldap'
}

dependencies {
    implementation('org.springframework.boot:spring-boot-starter-web')
    implementation('com.demo.boot:my-ldap-security-spring-boot-starter:0.0.1')
}

Answer 1

看看项目结构，可能有一个来自xml配置的securityFilterChain，而不是类扩展。带有http标记的XML。

Answer 2

对于googlers

你不能用

@Bean
public SecurityFilterChain filterChain(HttpSecurity http)...

扩展WebSecurity配置适配器时。

选择以上一项或仅覆盖

@Override
protected void configure(HttpSecurity http)

Answer 3

最初，如果存在任何Web安全配置适配器（WebSecurityConfigureAdapter），则会禁用默认的安全过滤器链（SecurityFilterChain）。但是，如果spring security自动配置的优先级高于您的WebSecurity配置适配器的自动配置，那么它就不起作用。

解决方案：我在自动配置类上方添加了自动配置顺序（Ordered.HIGHEST\u priority 10）。不再有默认的安全筛选器链：）

关于EnableGlobalMethodSecurity。。。这是关于缓存的。突然，它被修好了。