Spring Security：如何结合hasAnyRole/hasAnyAuthority与denyAll配置权限？

你遇到的错误Can't configure mvcMatchers after anyRequest，核心原因是Spring Security的请求匹配规则按顺序执行，anyRequest()必须放在所有具体端点匹配规则的最后——它会匹配所有未被前面规则覆盖的请求，一旦提前使用，后续的具体端点规则就无法生效。

针对你的三个权限需求，适配Spring Security 3.2.4版本的正确配置代码如下（无需使用已废弃的and()）：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.http.HttpMethod;

@Configuration
@EnableWebSecurity
public class HttpSecurityConfiguration {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                // 需求1：允许所有访问POST /api/users，但拒绝USER、USER2角色的用户
                .requestMatchers(HttpMethod.POST, "/api/users")
                    .access("permitAll() and !hasAnyRole('USER', 'USER2')")
                // 需求2：允许所有访问POST /api/authenticate
                .requestMatchers(HttpMethod.POST, "/api/authenticate")
                    .permitAll()
                // 需求3：其余所有请求均需认证
                .anyRequest()
                    .authenticated()
            );
        // 若为前后端分离场景，可按需关闭CSRF保护
        // http.csrf(csrf -> csrf.disable());
        return http.build();
    }
}

关键规则说明 #

1. 需求1的表达式逻辑：

   • permitAll()：允许所有请求（含未认证请求）访问该端点
   • !hasAnyRole('USER', 'USER2')：排除拥有USER或USER2角色的用户（hasAnyRole会自动为角色名添加ROLE_前缀；若你数据库存储的是完整权限标识如ROLE_USER，也可替换为!hasAnyAuthority('ROLE_USER', 'ROLE_USER2')，效果一致）
   • 两者通过and组合，实现「允许所有人访问，但特定角色用户被拒绝」的要求

2. 规则顺序要求：
   所有针对具体端点的requestMatchers必须放在anyRequest()之前，否则会触发启动错误。Spring Security会按从上到下的顺序匹配请求，匹配到第一个符合规则的就停止后续匹配。

3. 废弃and()的替代方案：
   新版本Spring Security采用链式调用，无需再用and()连接配置块，直接在authorizeHttpRequests的Lambda表达式中链式编写规则即可。

内容的提问来源于stack exchange，提问作者joseluisbz