如何在Spring Boot中彻底禁用Spring Security？

Question

如何在Spring Boot中彻底禁用Spring Security？当项目引入了spring-boot-starter-security依赖后，即使不需要认证授权功能，应用也会自动启用HTTP基本认证，导致接口无法直接访问。许多开发者尝试通过配置文件设置`security.enabled=false`或使用`@EnableWebSecurity`配合条件注解来关闭Security，但在新版本中这些方法已失效或不推荐。那么，在Spring Boot 2.x及以上版本中，正确的做法是什么？是否可以通过配置类、属性设置或排除自动配置类等方式完全禁用Spring Security？常见误区有哪些？

Answer 1

如何在Spring Boot中彻底禁用Spring Security？

1. 问题背景与现象描述

当开发者在Spring Boot项目中引入 spring-boot-starter-security 依赖后，即使不进行任何安全配置，应用也会自动启用HTTP基本认证（Basic Authentication）。这会导致所有接口被拦截，必须提供用户名和密码才能访问，给调试或非安全场景带来极大不便。

许多开发者尝试通过以下方式解决：

• 在 application.properties 中设置 security.enabled=false
• 使用 @EnableWebSecurity 配合条件注解如 @ConditionalOnProperty

然而，在Spring Boot 2.x及以上版本中，这些方法已失效或不再推荐。这是因为Spring Security的自动配置机制发生了根本性变化，原有的属性已被移除或重构。

2. Spring Boot 2.x 中的安全自动配置机制

从Spring Boot 2.0开始，安全配置由新的自动配置类 SecurityAutoConfiguration 和 ManagementWebSecurityAutoConfiguration 控制。它们会检测类路径中是否存在Spring Security相关类，并自动启用默认的安全策略。

关键点如下：

配置类	作用
SecurityAutoConfiguration	主安全自动配置，启用全局Web安全
ManagementWebSecurityAutoConfiguration	管理端点（如/actuator）的安全配置

因此，若要完全禁用Spring Security，必须阻止这些自动配置类的加载。

3. 彻底禁用Spring Security的正确方法

以下是几种有效且适用于生产环境的做法，按推荐程度排序：

3.1 方法一：排除自动配置类（推荐）

在主启动类上使用 @SpringBootApplication 的 exclude 属性排除安全相关的自动配置：

@SpringBootApplication(exclude = {
    org.springframework.boot.autoconfigure.security.servlet.SecurityAutoConfiguration.class,
    org.springframework.boot.autoconfigure.security.servlet.ManagementWebSecurityAutoConfiguration.class
})
public class MyApplication {
    public static void main(String[] args) {
        SpringApplication.run(MyApplication.class, args);
    }
}

此方法直接切断自动配置链，是最干净、最可靠的禁用方式。

3.2 方法二：通过配置文件控制（有条件可用）

虽然 security.enabled=false 已废弃，但可以通过配置自定义安全配置类来“放行所有请求”：

@Configuration
@ConditionalOnProperty(name = "security.disabled", havingValue = "true")
@EnableWebSecurity
public class DisabledSecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests(authz -> authz.anyRequest().permitAll())
            .csrf(csrf -> csrf.disable())
            .httpBasic(httpBasic -> httpBasic.disable())
            .formLogin(formLogin -> formLogin.disable());
        return http.build();
    }
}

然后在 application.yml 中设置：

security:
  disabled: true

这种方式保留了灵活性，可在不同环境中动态开启/关闭安全功能。

3.3 方法三：移除依赖（最彻底）

如果项目确实不需要任何安全功能，最根本的解决方案是直接从 pom.xml 或 build.gradle 中移除 spring-boot-starter-security 依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
    <!-- 移除此依赖 -->
</dependency>

这是最彻底的方式，避免任何潜在的安全自动配置干扰。

4. 常见误区与陷阱

开发者在尝试禁用Spring Security时常陷入以下误区：

1. 误用已废弃属性：如继续使用 security.basic.enabled=false 或 management.security.enabled=false，这些在Boot 2.x中无效。
2. 仅禁用HTTP Basic而不关闭授权检查：即使关闭了basic auth，仍可能因未配置 permitAll() 导致请求被拒绝。
3. 混淆 @EnableWebSecurity 的作用：该注解用于启用自定义配置，而非关闭安全；不加它不代表安全被禁用。
4. 忽略管理端点安全：即使主应用安全被绕过，/actuator 等端点仍受 ManagementWebSecurityAutoConfiguration 保护。

5. 决策流程图

graph TD A[是否需要Spring Security?] -->|否| B[从pom.xml中移除spring-boot-starter-security] A -->|是，但想临时关闭| C[排除SecurityAutoConfiguration] C --> D[检查是否需保护管理端点?] D -->|否| E[同时排除ManagementWebSecurityAutoConfiguration] D -->|是| F[保留ManagementWebSecurityAutoConfiguration] A -->|是，需条件启用| G[使用@ConditionalOnProperty控制配置类加载]

6. 高级场景与最佳实践

对于微服务架构或多环境部署，建议采用“条件化安全启用”策略：

• 开发环境：通过profile禁用安全，提升调试效率
• 测试环境：模拟真实安全上下文
• 生产环境：强制启用完整安全策略

示例配置：

---
spring:
  profiles: dev
security:
  disabled: true

---
spring:
  profiles: prod
security:
  disabled: false

结合Spring Profile与条件化配置，可实现灵活的安全治理模型。