SecurityConfigure和ResourceServerConfigure的优先级

首先我们查看SecurityConfigure继承的类WebSecurityConfigurerAdapter的源码：

@Order(100)
public abstract class WebSecurityConfigurerAdapter implements WebSecurityConfigurer<WebSecurity> {
   ......
}

可以看到类上使用了@Order(100)标注，说明其顺序是100。

再来看看ResourceServerConfigure类上@EnableResourceServer注解源码：

@Target({ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
@Documented
@Import({ResourceServerConfiguration.class})
public @interface EnableResourceServer {
}

该注解引入了ResourceServerConfiguration配置类，查看ResourceServerConfiguration源码：

@Configuration
public class ResourceServerConfiguration extends WebSecurityConfigurerAdapter implements Ordered {
    private int order = 3;
    ......
}

所以ResourceServerConfigure的顺序是3。在Spring中，数字越小，优先级越高，也就是说ResourceServerConfigure的优先级要高于SecurityConfigure，这也就意味着所有请求都会被ResourceServerConfigure过滤器链处理，包括/oauth/开头的请求。这显然不是我们要的效果，我们原本是希望以/oauth/开头的请求由SecurityConfigure过滤器链处理，剩下的其他请求由ResourceServerConfigure过滤器链处理。

为了解决上面的问题，我们可以手动指定这两个类的优先级，让SecurityConfigure的优先级高于ResourceServerConfigure。

在SecurityConfigure类上使用Order(2)注解标注即可：

@Order(2)
@EnableWebSecurity
public class SecurityConfigure extends WebSecurityConfigurerAdapter {
    ......
}