Spring Boot Security配置异常：视图全拦截，自定义数据库用户不可用

核心问题分析 #

你遇到的现象（自动生成临时密码、放行路径失效、数据库用户无法登录）本质是Spring Security没有加载你的自定义UserDetailsService， fallback到了默认的InMemoryUserDetailsManager，同时路径匹配规则可能配置错误。

分步修复方案 #

1. 修正SecurityConfig配置

确保你的配置类正确注册自定义UserDetailsService，并按顺序配置路径规则：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    private final MyDatabaseUserDetailsService userDetailsService;

    // 构造注入自定义UserDetailsService
    public SecurityConfig(MyDatabaseUserDetailsService userDetailsService) {
        this.userDetailsService = userDetailsService;
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            // 先配置公开放行路径，顺序很重要：先匹配的规则优先
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/index", "/login", "/css/**", "/js/**").permitAll()
                .anyRequest().authenticated()
            )
            // 可选：配置表单登录页（如果自定义了登录页面）
            .formLogin(form -> form
                .loginPage("/login")
                .permitAll()
            )
            .logout(logout -> logout.permitAll())
            // 关键：绑定自定义UserDetailsService到Security上下文
            .userDetailsService(userDetailsService);

        return http.build();
    }

    // 必须配置密码加密器，确保数据库密码与加密规则一致
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

2. 校验MyDatabaseUserDetailsService实现

确保服务类被Spring管理，且正确从数据库查询用户：

@Service // 必须加@Service或@Component让Spring扫描到
public class MyDatabaseUserDetailsService implements UserDetailsService {

    private final MyUserRepository userRepository;

    public MyDatabaseUserDetailsService(MyUserRepository userRepository) {
        this.userRepository = userRepository;
    }

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 从数据库查询用户，找不到抛出异常
        MyUser user = userRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("用户不存在: " + username));

        // 转换为UserDetails实现类返回
        return new MyUserDetails(user);
    }
}

3. 确保MyUserDetails正确实现UserDetails接口

所有方法的返回值直接影响用户登录权限，示例实现：

public class MyUserDetails implements UserDetails {

    private final MyUser user;

    public MyUserDetails(MyUser user) {
        this.user = user;
    }

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        // 转换用户角色为Spring Security认可的权限对象
        return Arrays.stream(user.getRoles().split(","))
                .map(SimpleGrantedAuthority::new)
                .collect(Collectors.toList());
    }

    @Override
    public String getPassword() {
        return user.getPassword(); // 数据库中必须存储加密后的密码
    }

    @Override
    public String getUsername() {
        return user.getUsername();
    }

    // 以下方法根据业务需求调整，默认返回true即可
    @Override
    public boolean isAccountNonExpired() {
        return true;
    }

    @Override
    public boolean isAccountNonLocked() {
        return true;
    }

    @Override
    public boolean isCredentialsNonExpired() {
        return true;
    }

    @Override
    public boolean isEnabled() {
        return true;
    }
}

4. 数据库密码校验

数据库中存储的用户密码必须是通过BCryptPasswordEncoder加密后的字符串，例如：

// 生成加密密码的测试代码
public static void main(String[] args) {
    PasswordEncoder encoder = new BCryptPasswordEncoder();
    System.out.println(encoder.encode("your-user-password"));
}

将生成的字符串存入数据库的password字段，不能存明文。

额外检查项 #

• 确认MyUserRepository的findByUsername方法正确实现，能从数据库查询到用户
• 启动类无需额外排除Security自动配置，只要你的SecurityConfig带有@EnableWebSecurity，默认配置会被覆盖
• 检查是否有多个Security配置类，避免冲突

内容的提问来源于stack exchange，提问作者pgsanchez