如何阻止Spring OAuth2自动重定向并配置公开首页？

正确的SecurityFilterChain配置 #

import jakarta.servlet.http.HttpServletResponse;
import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .csrf(csrf -> csrf.disable()) // 根据场景调整：后端渲染可保留CSRF，前后端分离建议关闭
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/").permitAll() // 首页无条件放行，必须放在规则最前面
            .anyRequest().authenticated() // 其他所有路径需认证
        )
        .oauth2Login(oauth2 -> oauth2
            // 替换默认授权重定向行为，未认证访问受保护路径时返回401
            .failureHandler((request, response, exception) -> {
                response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Unauthorized");
            })
        )
        .exceptionHandling(exceptions -> exceptions
            .authenticationEntryPoint((request, response, authException) -> {
                // 仅对非首页的未认证请求返回401
                if (!request.getRequestURI().equals("/")) {
                    response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
                    response.getWriter().write("Unauthorized");
                }
            })
        );
    return http.build();
}

关键配置说明 #

1. 规则顺序优先级：Spring Security的路径匹配是从上到下依次生效的，必须将/的放行规则放在anyRequest().authenticated()之前，否则首页会被后置的认证规则覆盖，触发登录重定向。
2. OAuth2行为修正：默认未认证访问受保护路径会自动跳转到OAuth2授权页，通过failureHandler直接返回401状态码，符合需求。
3. 异常处理路径区分：authenticationEntryPoint在未认证时触发，增加路径判断避免首页被拦截返回401，仅对其他路径生效。

你之前的配置问题分析 #

• 首页仍跳转到GitHub登录：大概率是路径规则顺序错误，放行规则被后置的认证规则覆盖。
• 添加exceptionHandling后全局返回401：未对首页路径做特殊判断，导致所有未认证请求（包括首页）都被强制返回401。

内容的提问来源于stack exchange，提问作者Socrates