theme: cyanosis

解决 Spring Boot 中 SecurityConfig 循环依赖问题的详解

在使用 Spring Boot 构建应用程序时，配置安全性 (SecurityConfig) 是一个常见的需求。然而，在配置过程中，开发者可能会遇到循环依赖（Circular Dependency）的问题，导致应用无法正常启动。本文将详细介绍如何分析和解决 Spring Boot 应用中 SecurityConfig 类引发的循环依赖问题。

引言

在构建基于 Spring Boot 的应用程序时，安全配置是确保应用程序安全性的关键环节。Spring Security 提供了强大的功能，但不当的配置可能会导致循环依赖问题，进而阻碍应用程序的启动。本文将通过实际案例，解析循环依赖的根源，并提供有效的解决方案。

问题描述

在启动 Spring Boot 应用程序时，出现如下错误日志：

org.springframework.beans.factory.BeanCurrentlyInCreationException: Error creating bean with name 'securityConfig': Requested bean is currently in creation: Is there an unresolvable circular reference or an asynchronous initialization dependency?

        
          
        
        
        
          
          AI 代码解读

该错误表明在创建 SecurityConfig Bean 时，发生了循环依赖，导致 Spring 容器无法完成 Bean 的实例化。接下来，我们将深入分析日志和代码，找出问题的根源，并进行修复。

日志分析

以下是应用程序启动时的关键日志信息：

2024-12-17T18:27:34.453+08:00  WARN 19888 --- [ConveniencePOS] [  restartedMain] ConfigServletWebServerApplicationContext : Exception encountered during context initialization - cancelling refresh attempt: org.springframework.beans.factory.UnsatisfiedDependencyException: Error creating bean with name 'securityConfig' defined in file [E:\Word\ConveniencePOS\target\classes\com\example\conveniencepos\config\SecurityConfig.class]: Unsatisfied dependency expressed through constructor parameter 1: Error creating bean with name 'securityConfig': Requested bean is currently in creation: Is there an unresolvable circular reference or an asynchronous initialization dependency?

        
          
        
        
        
          
          AI 代码解读

从日志中可以看出，SecurityConfig Bean 在创建过程中依赖于自身，导致循环依赖问题。

原始代码

以下是导致问题的 SecurityConfig 类代码：

package com.example.conveniencepos.config;

import com.example.conveniencepos.service.UserDetailsServiceImpl;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
public class SecurityConfig {
   

    @Autowired
    private UserDetailsServiceImpl userDetailsService;

    @Bean
    public PasswordEncoder passwordEncoder() {
   
        return new BCryptPasswordEncoder();
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
   
        http
                .csrf(csrf -> csrf.disable())
                .authorizeHttpRequests(auth -> auth
                        .requestMatchers("/login", "/api/users/register", "/error").permitAll()
                        .anyRequest().authenticated()
                )
                .formLogin(form -> form
                        .loginPage("/login")
                        .loginProcessingUrl("/perform_login")
                        .defaultSuccessUrl("/sales", true)
                        .failureUrl("/login?error")
                        .permitAll()
                )
                .logout(logout -> logout
                        .logoutUrl("/logout")
                        .logoutSuccessUrl("/login?logout")
                        .permitAll()
                );

        return http.build();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
   
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }
}

        
          
        
        
        
          
          AI 代码解读

循环依赖原因分析

在上述代码中，SecurityConfig 类通过 @Autowired 注入了 UserDetailsServiceImpl，并定义了 PasswordEncoder Bean。同时，configureGlobal 方法中调用了 passwordEncoder() 方法。这种直接调用 @Bean 方法的方式可能导致 Spring 尝试重新创建 Bean，从而引发循环依赖。

具体来说：

构造函数注入引入的循环依赖：在 configureGlobal 方法中直接调用 passwordEncoder()，使得 SecurityConfig 在创建 PasswordEncoder Bean 时需要依赖自身，形成循环。
依赖注入方式：使用字段注入 (@Autowired on field) 可能导致依赖关系难以追踪和管理，增加循环依赖的风险。

解决方案

为了解决上述循环依赖问题，可以采取以下步骤：

1. 移除 `configureGlobal` 方法

Spring Security 的最新版本推荐使用 AuthenticationProvider 或通过 SecurityFilterChain 来配置认证，而不是使用 AuthenticationManagerBuilder。因此，可以移除 configureGlobal 方法，并通过定义 DaoAuthenticationProvider 来设置 UserDetailsService 和 PasswordEncoder。

2. 定义 `DaoAuthenticationProvider` Bean

通过定义一个 DaoAuthenticationProvider Bean，可以将 UserDetailsService 和 PasswordEncoder 绑定起来，而不需要在 SecurityConfig 类中直接调用 passwordEncoder() 方法。

3. 重新配置 `SecurityFilterChain`

在 SecurityFilterChain 中配置 AuthenticationProvider，确保 Spring Security 能够正确处理认证过程。

4. 完整的重构后的 `SecurityConfig` 类

以下是重构后的 SecurityConfig 类，避免了循环依赖问题：

package com.example.conveniencepos.config;

import com.example.conveniencepos.service.UserDetailsServiceImpl;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.dao.DaoAuthenticationProvider;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {
   

    private final UserDetailsServiceImpl userDetailsService;

    // 使用构造函数注入，确保依赖关系的明确性
    public SecurityConfig(UserDetailsServiceImpl userDetailsService) {
   
        this.userDetailsService = userDetailsService;
    }

    // 定义 PasswordEncoder Bean
    @Bean
    public PasswordEncoder passwordEncoder() {
   
        return new BCryptPasswordEncoder();
    }

    // 定义 DaoAuthenticationProvider Bean
    @Bean
    public DaoAuthenticationProvider authenticationProvider() {
   
        DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();

        authProvider.setUserDetailsService(userDetailsService);
        authProvider.setPasswordEncoder(passwordEncoder());

        return authProvider;
    }

    // 配置 SecurityFilterChain
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
   
        http
            .csrf(csrf -> csrf.disable())
            .authorizeHttpRequests(auth -> auth
                    .requestMatchers("/login", "/api/users/register", "/error").permitAll()
                    .anyRequest().authenticated()
            )
            .formLogin(form -> form
                    .loginPage("/login")
                    .loginProcessingUrl("/perform_login")
                    .defaultSuccessUrl("/sales", true)
                    .failureUrl("/login?error")
                    .permitAll()
            )
            .logout(logout -> logout
                    .logoutUrl("/logout")
                    .logoutSuccessUrl("/login?logout")
                    .permitAll()
            )
            .authenticationProvider(authenticationProvider()); // 设置 AuthenticationProvider

        return http.build();
    }
}

        
          
        
        
        
          
          AI 代码解读

5. 解释重构后的变化

移除 configureGlobal 方法：通过移除该方法，消除了对 AuthenticationManagerBuilder 的依赖，从而避免了潜在的循环依赖。
使用构造函数注入：通过构造函数注入 UserDetailsServiceImpl，使得依赖关系更加明确和易于管理。
定义 DaoAuthenticationProvider Bean：通过 DaoAuthenticationProvider，将 UserDetailsService 和 PasswordEncoder 绑定起来，避免了在配置类中直接调用 passwordEncoder() 方法。
在 SecurityFilterChain 中配置 AuthenticationProvider：通过在 SecurityFilterChain 中设置 AuthenticationProvider，确保 Spring Security 能够正确处理认证过程。

6. 检查其他 Bean 的依赖关系

确保 UserDetailsServiceImpl 或其他相关 Bean 不依赖于 SecurityConfig 或其定义的 Bean。如果存在这种情况，可能需要进一步重构这些 Bean 以消除循环依赖。

7. 分离配置类（可选）

为了进一步降低循环依赖的风险，可以将 PasswordEncoder 的定义移动到另一个配置类中。例如：

package com.example.conveniencepos.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
public class PasswordConfig {
   

    @Bean
    public PasswordEncoder passwordEncoder() {
   
        return new BCryptPasswordEncoder();
    }
}

        
          
        
        
        
          
          AI 代码解读

然后在 SecurityConfig 中注入 PasswordEncoder：

package com.example.conveniencepos.config;

import com.example.conveniencepos.service.UserDetailsServiceImpl;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.dao.DaoAuthenticationProvider;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {
   

    private final UserDetailsServiceImpl userDetailsService;
    private final PasswordEncoder passwordEncoder;

    public SecurityConfig(UserDetailsServiceImpl userDetailsService, PasswordEncoder passwordEncoder) {
   
        this.userDetailsService = userDetailsService;
        this.passwordEncoder = passwordEncoder;
    }

    @Bean
    public DaoAuthenticationProvider authenticationProvider() {
   
        DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();

        authProvider.setUserDetailsService(userDetailsService);
        authProvider.setPasswordEncoder(passwordEncoder);

        return authProvider;
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
   
        http
            .csrf(csrf -> csrf.disable())
            .authorizeHttpRequests(auth -> auth
                    .requestMatchers("/login", "/api/users/register", "/error").permitAll()
                    .anyRequest().authenticated()
            )
            .formLogin(form -> form
                    .loginPage("/login")
                    .loginProcessingUrl("/perform_login")
                    .defaultSuccessUrl("/sales", true)
                    .failureUrl("/login?error")
                    .permitAll()
            )
            .logout(logout -> logout
                    .logoutUrl("/logout")
                    .logoutSuccessUrl("/login?logout")
                    .permitAll()
            )
            .authenticationProvider(authenticationProvider());

        return http.build();
    }
}

        
          
        
        
        
          
          AI 代码解读

8. 使用 `@Lazy` 注解（不推荐）

如果无法通过重构消除循环依赖，可以在其中一个依赖上使用 @Lazy 注解，推迟 Bean 的初始化时间，从而打破循环依赖。

@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth, @Lazy PasswordEncoder passwordEncoder) throws Exception {
   
    auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder);
}

        
          
        
        
        
          
          AI 代码解读

注意：使用 @Lazy 是一种临时解决方案，长期来看应尽量避免循环依赖。

9. 启用循环引用（不推荐）

作为最后的手段，可以在 application.properties 中设置 spring.main.allow-circular-references=true 来允许循环引用。然而，这不推荐作为长期解决方案，因为它可能导致不可预测的行为。

spring.main.allow-circular-references=true

        
          
        
        
        
          
          AI 代码解读

结论

循环依赖问题在 Spring Boot 应用程序中并不少见，尤其是在配置复杂的安全性设置时。通过合理设计 Bean 的依赖关系，使用构造函数注入，避免在配置类中直接调用 @Bean 方法，可以有效避免循环依赖问题。

关键要点总结：

避免在配置类中直接调用 @Bean 方法，改用构造函数或方法参数注入。
使用 DaoAuthenticationProvider 将 UserDetailsService 和 PasswordEncoder 绑定起来，简化配置。
分离配置类，降低 Bean 之间的耦合度，减少循环依赖的可能性。
谨慎使用 @Lazy 注解和允许循环引用，优先通过重构消除循环依赖。

解决 Spring Boot 中 SecurityConfig 循环依赖问题的详解

theme: cyanosis

解决 Spring Boot 中 SecurityConfig 循环依赖问题的详解

引言

问题描述

日志分析

原始代码

循环依赖原因分析

解决方案

1. 移除 `configureGlobal` 方法

2. 定义 `DaoAuthenticationProvider` Bean

3. 重新配置 `SecurityFilterChain`

4. 完整的重构后的 `SecurityConfig` 类

5. 解释重构后的变化

6. 检查其他 Bean 的依赖关系

7. 分离配置类（可选）

8. 使用 `@Lazy` 注解（不推荐）

9. 启用循环引用（不推荐）

结论

热门文章

最新文章

相关课程

相关电子书

相关实验场景

探索云世界

热门

云计算

大数据

云原生

人工智能

数据库

开发与运维

活动广场

任务中心

训练营

直播

乘风者计划

下载

镜像站

技术资料

解决 Spring Boot 中 SecurityConfig 循环依赖问题的详解

theme: cyanosis

解决 Spring Boot 中 SecurityConfig 循环依赖问题的详解

引言

问题描述

日志分析

原始代码

循环依赖原因分析

解决方案

1. 移除 configureGlobal 方法

2. 定义 DaoAuthenticationProvider Bean

3. 重新配置 SecurityFilterChain

4. 完整的重构后的 SecurityConfig 类

5. 解释重构后的变化

6. 检查其他 Bean 的依赖关系

7. 分离配置类（可选）

8. 使用 @Lazy 注解（不推荐）

9. 启用循环引用（不推荐）

结论

热门文章

最新文章

相关课程

相关电子书

相关实验场景

1. 移除 `configureGlobal` 方法

2. 定义 `DaoAuthenticationProvider` Bean

3. 重新配置 `SecurityFilterChain`

4. 完整的重构后的 `SecurityConfig` 类

8. 使用 `@Lazy` 注解（不推荐）