SpringBoot项目访问localhost:8080/graphiql遇403权限拒绝问题

你的问题核心是仅放行了/graphiql单个端点，但GraphiQL页面加载时会请求该路径下的静态资源（如JS、CSS文件），这些资源请求被Spring Security拦截，最终导致页面返回403错误。以下是针对性的解决方案：

方案1：更新WebSecurityConfigurerAdapter配置 #

修改你的SecurityConfig类，将/graphiql/**路径也加入放行列表，同时可添加WebSecurity配置忽略静态资源的安全检查：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/graphql", "/graphiql/**").permitAll()
                .anyRequest().authenticated()
                .and()
                .csrf().disable();
    }

    // 可选：忽略GraphiQL相关静态资源的安全检查，避免额外拦截
    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers("/graphiql/**");
    }
}

方案2：使用新版Spring Security配置（推荐，适配Spring Boot 2.7+） #

如果你的Spring Boot版本在2.7及以上，WebSecurityConfigurerAdapter已被官方弃用，建议使用SecurityFilterChain替代：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests(auth -> auth
                .requestMatchers("/graphql", "/graphiql/**").permitAll()
                .anyRequest().authenticated())
                .csrf(csrf -> csrf.disable());
        return http.build();
    }

    @Bean
    public WebSecurityCustomizer webSecurityCustomizer() {
        return web -> web.ignoring().requestMatchers("/graphiql/**");
    }
}

验证步骤 #

1. 重启Spring Boot应用
2. 访问localhost:8080/graphiql，确认页面正常加载
3. 测试/graphql端点是否可正常请求

若问题仍存在，可排查：

• 是否有其他自定义过滤器/拦截器拦截了请求
• 确认graphiql-spring-boot-starter版本与Spring Boot版本的兼容性

内容的提问来源于stack exchange，提问作者Judy Guo