Spring Security 禁用指南 | Baeldung中文网

1. 概述

Spring Security 是 Java 应用中功能强大且高度可定制的认证与访问控制框架。本文将探讨 Spring Security 的核心价值，以及在某些场景下（如开发、测试或使用自定义安全机制时）禁用它的必要性。

本文将系统介绍在 Spring Boot 应用中禁用 Spring Security 的多种方法，确保配置易于管理和回滚。所有示例代码均附带单元测试验证，可直接用于项目实践。我们将重点讲解禁用 Spring Security 的核心概念和实现技巧。

2. 禁用 Spring Security 的四种方式

根据应用需求，可通过以下四种方式禁用 Spring Security：

✅ 自定义安全配置
✅ 利用 Spring Profiles
✅ 移除 Spring Security 依赖
✅ 排除 Spring Security 自动配置

首先通过 Spring Initializr 创建一个基础 Spring Boot 项目（基于 Maven），包含以下测试接口：

@RestController
@RequestMapping("/api")
public class PublicController {
    @GetMapping("/endpoint")
    public ResponseEntity<String> publicEndpoint() {
        return ResponseEntity.ok("This is a public endpoint.");
    }
}

3. 通过自定义配置禁用

最直接的方式是创建自定义安全配置类。核心思路是定义 SecurityFilterChain Bean，允许所有请求无需认证：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http.authorizeHttpRequests(auth -> auth.anyRequest().permitAll())
      .csrf(AbstractHttpConfigurer::disable);
    return http.build();
}

⚠️ 注意：此方法会完全关闭安全保护，仅适用于开发环境或临时调试。

4. 利用 Spring Profiles 实现环境隔离

Spring Profiles 允许为不同环境配置不同行为。典型场景：开发环境禁用安全，生产环境启用安全。

4.1 开发环境配置

创建 application-dev.properties 文件：

spring.profiles.active=dev

4.2 非开发环境安全配置

创建仅在非 dev 环境生效的安全配置类：

@Configuration
@Profile("!dev")
public class ProdSecurityConfig {
    
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests(auth -> 
                auth.requestMatchers("/api/public/**").permitAll()
                    .anyRequest().authenticated())
            .formLogin(Customizer.withDefaults());
        return http.build();
    }
}

4.3 效果验证

当激活 dev profile 时，访问 /api/endpoint 无需认证即可返回 200：

可通过 MockMvc 编写测试验证行为：

@SpringBootTest
@ActiveProfiles("dev")
class SecurityDisabledTest {
    @Autowired
    private MockMvc mockMvc;

    @Test
    void whenDevProfile_thenEndpointAccessible() throws Exception {
        mockMvc.perform(get("/api/endpoint"))
               .andExpect(status().isOk());
    }
}

5. 移除 Spring Security 依赖

最彻底的方式是直接移除依赖。在 pom.xml 中删除：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

❌ 踩坑提示：此方法会导致所有安全功能失效，包括 CSRF 保护、会话管理等，仅适用于完全不需要安全功能的场景。

6. 排除自动配置

通过 @SpringBootApplication 注解排除自动配置：

@SpringBootApplication(exclude = { SecurityAutoConfiguration.class })
public class Application {
    public static void main(String[] args) {
        SpringApplication.run(Application.class, args);
    }
}

✅ 优势：保留依赖但禁用自动配置，适合需要手动精细控制安全行为的场景。

7. 方案对比

方案	适用场景	优点	缺点
自定义配置	临时调试	灵活可控	需编写额外代码
Profiles	多环境管理	环境隔离清晰	需维护多套配置
移除依赖	完全不需要安全	彻底干净	丧失所有安全能力
排除自动配置	需手动接管	保留依赖能力	配置复杂度高

8. 总结

本文系统介绍了四种禁用 Spring Security 的方法：

通过自定义 SecurityFilterChain 快速关闭安全验证
利用 Profiles 实现开发/生产环境的安全策略隔离
直接移除依赖（最彻底但风险最高）
排除自动配置保留手动控制能力

选择方案时需权衡：

开发阶段推荐 Profiles 方案
临时调试可用自定义配置
完全不需要安全时才考虑移除依赖
需精细控制时选择排除自动配置

Persistence

REST

Security