Spring Security 配置类未被加载，通常源于包扫描路径不匹配、命名不规范或配置方式过时；本文详解如何正确声明 SecurityFilterChain Bean、确保组件自动扫描，并适配 Spring Boot 3.x + Spring Security 6.x 的新范式。
spring security 配置类未被加载，通常源于包扫描路径不匹配、命名不规范或配置方式过时；本文详解如何正确声明 `securityfilterchain` bean、确保组件自动扫描，并适配 spring boot 3.x + spring security 6.x 的新范式。
在 Spring Boot 3.x（搭配 Spring Security 6.x）中，基于 SecurityFilterChain 的函数式安全配置已成为标准方式。但即使代码语法正确，若配置类未被 Spring 容器识别，所有安全规则仍将失效——这正是你遇到“配置文件无任何效果”的根本原因。
✅ 正确配置的三大关键点
1. 包路径必须可被组件扫描
Spring Boot 默认仅扫描主启动类所在包及其子包下的 @Configuration、@Component 等注解类。你的配置类位于顶层包 Security（首字母大写，且与主类包无包含关系），导致 Spring 完全忽略它。
❌ 错误示例（独立顶层包）：
package Security; // ❌ 非标准、不可扫描（除非显式配置）
public class securityConfiguration { ... }✅ 推荐做法：将配置类移至主应用包下（如 com.example.test.security）：
package com.example.test.security; // ✅ 与主类同包或子包
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;
@Configuration
@EnableWebSecurity
public class SecurityConfig { // 类名遵循 PascalCase
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests(authz -> authz
.anyRequest().authenticated() // 替代已弃用的 authorizeRequests()
)
.httpBasic(); // 启用 HTTP Basic 认证
return http.build(); // ⚠️ 必须调用 build() 并返回
}
}? 提示：@EnableWebSecurity 在 Spring Security 5.7+ 中已非必需（@Configuration + SecurityFilterChain Bean 即可启用），但保留可增强语义清晰度。
2. 严格遵守 Java 命名规范
- 包名必须全小写（如 com.example.test.security），Security（首字母大写）是非法包名，部分 IDE 或构建工具可能报错或静默跳过。
- 类名使用 PascalCase（如 SecurityConfig），而非 securityConfiguration。
- 方法名使用 camelCase（如 filterChain），避免下划线或小写开头混淆。
3. 确保依赖与版本兼容
你的 pom.xml 已正确引入 spring-boot-starter-security（v3.0.2 自带 Spring Security 6.0.x），无需额外调整。但需注意：
- thymeleaf-extras-springsecurity6 是正确的（对应 Spring Security 6），若降级到 5.x 则需改为 springsecurity5。
- 移除过时的 XML 或 WebSecurityConfigurerAdapter 继承方式——该抽象类已在 Spring Security 6.0 中彻底移除。
? 验证配置是否生效
启动应用后，访问任意受保护接口（如 /actuator/health 或自定义 @RestController），应立即触发 HTTP Basic 认证弹窗（状态码 401 Unauthorized）。若仍跳转登录页或无认证提示，请检查：
- 应用日志中是否出现 Registered SecurityFilterChain 日志；
- 主启动类是否在 com.example.test 包下（确保 SecurityConfig 在其子包）；
- 是否存在多个 SecurityFilterChain Bean（Spring Security 仅使用第一个，其余被忽略）。
✅ 最终建议结构
src/main/java/ ├── com/example/test/ │ ├── TestApplication.java ← 主启动类（package com.example.test） │ └── security/ │ └── SecurityConfig.java ← 正确位置 & 命名
遵循以上规范，你的 Basic 认证配置将立即生效——无需 @ComponentScan 强制指定，真正实现“约定优于配置”。
