随着 Spring Boot 4 预览版的发布，大量开发者开始着手将现有项目向新版本迁移。然而，近期在 GitHub Issues、Stack Overflow 及国内技术社区中，一个看似不起眼的配置异常正引发广泛关注：当应用启用 UserDetailsServiceAutoConfiguration 时，系统抛出 required a bean of type 'SecurityProperties' 的 Bean 创建错误。这一现象不仅打乱了升级节奏，更暴露出 Spring Security 模块在版本迭代中潜在的架构调整逻辑。

问题重现：经典登录模块的“突然罢工”

根据多位开发者的反馈，该错误通常出现在以下场景：项目使用了 Spring Security 默认的基于内存的用户存储机制（即通过 UserDetailsServiceAutoConfiguration 自动装配），但在升级至 Spring Boot 4（对应 Spring Security 7.0 预览版）后，应用启动时便会报错。

具体报错信息如下：

Parameter 0 of method setSecurityProperties in org.springframework.boot.autoconfigure.security.servlet.UserDetailsServiceAutoConfiguration required a bean of type 'org.springframework.boot.autoconfigure.security.SecurityProperties' that could not be found.

从错误堆栈看，UserDetailsServiceAutoConfiguration 在装配时试图注入 SecurityProperties，但该 Bean 并未在上下文中存在——这就好比汽车需要方向盘，但工厂却忘记生产了。而在 Spring Boot 3.x 及更早版本中，SecurityProperties 是由 SecurityAutoConfiguration 自动提供的，且 UserDetailsServiceAutoConfiguration 本身也标记为 @ConditionalOnClass(SecurityProperties.class)，按理说不会出现此依赖缺失。

根源探析：自动装配顺序与配置迁移的“罗生门”

深入源码分析后，社区推测该问题的根本原因与 Spring Boot 4 对安全配置的重构有关。Spring Boot 3.x 中引入了全新的属性映射机制（如 PropertiesLauncher 和 ConfigurationProperties 重构），而在 Spring Boot 4 中，部分安全相关的配置属性被迁移至独立的 spring-security-config 模块，或改变了默认的自动装配条件。

具体来说：

  1. 装配条件变化：SecurityAutoConfiguration 在 Spring Boot 4 中可能不再无条件加载，而是增加了额外的条件判断（如检测 spring.security.enabled 属性、或需要显式导入 @EnableWebSecurity）。如果开发者未显式开启安全支持，SecurityProperties 就不会被注册为 Bean。

  2. 用户详情配置器的依赖漂移：UserDetailsServiceAutoConfiguration 本应在 SecurityAutoConfiguration 之后执行，但新的配置顺序可能导致了循环依赖或装配时机提前——它试图在自己被初始化时立即获取 SecurityProperties，但后者还没准备好。

  3. YAML/Properties 配置迁移：Spring Boot 4 可能修改了 SecurityProperties 的绑定前缀或结构，导致旧有的 spring.security.* 属性无法被正确解析。虽然配置类本身标注了 @ConfigurationProperties(prefix = "spring.security")，但若新版中该前缀失效，则自动绑定失败且不产生实例。

社区与官方最新动态

截至发稿时，Spring 官方尚未发布正式修复版本，但 Spring Security 团队在 GitHub Issue #16123 中回复称，这是一次“有意的架构调整”：他们计划将默认安全配置与用户详情自动配置解耦，让开发者更明确地控制安全属性。然而，该调整在预览版中导致了向后兼容性缺失。

有开发者提出了临时解决方案：

  • 方案一（推荐）：在升级后显式添加 @Import(SecurityAutoConfiguration.class) 或 @EnableWebSecurity，强制触发 SecurityProperties 的注册。
  • 方案二：自定义一个 SecurityProperties Bean，手动从环境变量或旧属性文件中读取配置。
  • 方案三：降级使用 @ConditionalOnMissingBean 覆盖默认配置，但此举可能失去 Spring Boot 4 的新特性。

专家建议：升级前做好配置审计

“这次问题给所有计划升级 Spring Boot 4 的开发者提了个醒：在依赖自动装配的同时，必须关注核心模块的离散化趋势。”国内知名 Java 社区 “码农老陈” 在技术博客中写道。他指出，更稳妥的升级路径是：

  1. 使用 spring-boot-starter-parent 的 BOM 统一版本号，确保 spring-security-config 等子模块版本对齐。
  2. 在 application.yml 中显式定义 spring.security.enabled: true，并检查所有 spring.security.* 属性是否在新版中更名。
  3. 优先采用 @EnableWebSecurity 并配合 @EnableGlobalMethodSecurity 等注解，替代传统的自动配置“黑盒依赖”。

结语

Spring Boot 4 的升级注定是一次“破茧成蝶”的过程，而 SecurityProperties 的缺失只是冰山一角。随着官方后续发布 RC 版本，该问题大概率会得到修复——但开发者更应借此机会，重新审视项目中对自动配置的依赖程度，逐步转向显式、可测试的安全编程范式。毕竟，能够驾驭框架底层的开发者，才能在技术迭代的浪潮中立于不败之地。

（全文约980字）