Spring Security中requestMatchers("/").permitAll()不生效原因咨询

问题现象 #

配置requestMatchers("/").permitAll()后，访问localhost:8080/或localhost:8080仍被要求身份验证；改用requestMatchers("/*").permitAll()则正常放行。同时，配置requestMatchers("/hello").permitAll()放行/hello路径时也出现同样的拦截问题。

相关配置代码 #

Security配置类

@Configuration
@EnableWebSecurity
public class ApplicationSecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .csrf(csrf -> csrf.disable())
                .cors(cors -> cors.disable())
                .authorizeHttpRequests(
                        auth -> auth
                                .requestMatchers("/").permitAll()
                                .anyRequest().authenticated()
                )
                .httpBasic(Customizer.withDefaults());

        return http.build();
    }
}

控制器代码

@GetMapping("/hello")
public String homePage() {
    return "U r Seeing the home page!!!! WOOOOWWWWWWW!!!!";
}

原因分析 #

核心问题出在Spring Security默认的路径匹配规则上：

1. PathPatternParser的精确匹配特性：Spring Security 6.x及以后版本默认使用PathPatternParser作为路径匹配器，requestMatchers("/")属于精确匹配，仅会匹配路径完全等于/的请求；requestMatchers("/hello")同理，仅精确匹配/hello路径。
2. 实际请求的路径变化：
   • 当浏览器访问localhost:8080（不带末尾斜杠）时，部分Servlet容器会自动重定向到localhost:8080/，但如果存在路径规范化处理（比如合并多斜杠、自动添加后缀），可能导致请求URI与配置的精确路径不匹配。
   • 若Spring Boot开启了路径后缀匹配（部分版本默认spring.mvc.pathmatch.suffix-pattern=true），访问/hello时可能被解析为/hello.html或其他后缀形式，导致精确匹配的/hello无法命中。
3. /*的匹配范围：/*在PathPatternParser规则中，匹配根路径下的所有一级子路径（包括/hello、/index等），同时也会覆盖一些经过规范化处理的路径，因此能正常放行。

解决办法 #

根据需求可选择以下方案：

• 方案1：覆盖根路径及一级子路径
  直接配置requestMatchers("/", "/*").permitAll()，既覆盖精确的根路径，也包含所有一级子路径，满足基本放行需求。
• 方案2：关闭路径后缀匹配
  若不需要路径后缀匹配，在application.properties中添加配置：

  spring.mvc.pathmatch.suffix-pattern=false
  

  关闭后/hello只会精确匹配/hello请求，此时requestMatchers("/hello").permitAll()即可生效。
• 方案3：切换回AntPathMatcher
  若习惯旧版匹配规则，可配置Spring Security使用AntPathMatcher：

  @Bean
  public PathMatcher pathMatcher() {
      return new AntPathMatcher();
  }
  

内容的提问来源于stack exchange，提问作者Vansh_Chaudhary