Spring Boot Security中PermitAll()对首页不生效问题求助

问题分析 #

你的核心问题有两个：

1. 未认证时访问根路径/或直接访问/homepage被Spring Security拦截跳转到登录页，但你已经在SecurityConfig中配置了这两个路径permitAll，说明权限配置的生效逻辑存在异常。
2. 登录完成后系统错误重定向到/WEB-INF/pages/homepage.jsp?continue——这个路径是视图解析器内部解析的JSP文件路径，WEB-INF目录下的资源不允许直接通过浏览器访问，因此无法正常显示页面；而手动访问/homepage能正常加载，说明控制器映射和视图解析本身是正常的。

解决方案 #

1. 强制指定登录成功跳转URL

Spring Security默认会重定向到触发认证的原始请求URL，但这里可能因为重定向链（/→/homepage→登录页）导致savedRequest机制识别错误，直接指定登录成功后的跳转地址即可解决：
修改SecurityConfig中的formLogin配置：

.formLogin(form -> form
    .permitAll()
    .defaultSuccessUrl("/homepage", true) // 第二个参数设为true，强制跳转到该地址，忽略原始请求
)

2. 校验权限配置的准确性

确保/homepage的权限放行规则生效，检查以下几点：

• 确认Spring Security版本适配：你使用的是lambda式配置（Spring Security 5.2+），requestMatchers写法正确，但如果是更旧版本，需替换为antMatchers。
• 排查是否存在其他Security配置类：如果项目中有多个@EnableWebSecurity的配置类，可能会覆盖当前规则，确保只有一个核心Security配置。
• 检查路径匹配是否精确：比如是否存在大小写问题，或者路径末尾的斜杠差异（Spring Security默认忽略斜杠，但若有自定义配置需注意）。

3. 排查根路径重定向的潜在问题

你的根路径/重定向到/homepage，未认证时访问/会触发两次跳转，可能导致Security的请求记录混乱。可以尝试直接将根路径映射到首页视图，避免重定向：
修改ConsumerController中的根路径映射：

@GetMapping("/")
public String defaultHome() {
    System.out.println("Root page accessed");
    return "homepage"; // 直接返回视图名称，而非重定向
}

额外检查 #

• 确认WEB-INF/pages/homepage.jsp文件存在，且视图解析器配置（spring.mvc.view.prefix和suffix）正确。
• 检查是否有Spring MVC拦截器或其他过滤器拦截了/homepage请求，导致未认证时被拦截。

内容的提问来源于stack exchange，提问作者sarfaraj khan