Spring Boot 3集成Spring Security 6时H2数据库控制台访问异常

你遇到的错误是因为Servlet上下文里存在多个可映射的Servlet，其中H2的JakartaWebServlet映射了/h2-console/*，当前Spring Security配置未正确放行H2控制台请求，导致只有完全放开所有请求时才能正常访问。

• 替换路径匹配器，简化忽略规则
  把WebSecurityCustomizer里的AntPathRequestMatcher换成Spring Security专门为H2控制台提供的PathRequest.toH2Console()，同时移除不必要的@DependsOn注解：

  @Bean
  public WebSecurityCustomizer webSecurityCustomizer() {
      return (web) -> web.ignoring().requestMatchers(PathRequest.toH2Console());
  }
  

• 添加iframe允许配置
  H2控制台依赖iframe渲染页面，必须在SecurityFilterChain里配置允许同域iframe，否则页面无法正常显示：

  @Bean
  public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
  
      http.csrf().disable()
              // 允许H2控制台的iframe加载
              .headers(headers -> headers.frameOptions(frame -> frame.sameOrigin()))
              .authorizeHttpRequests((requests) -> requests
                      .requestMatchers("/", "/login").permitAll()
                      .requestMatchers("/students", "/students/**").hasRole("ADMIN")
                      .anyRequest().authenticated()
              )
              .formLogin()
              .failureUrl("/login?error=BadCredentials")
              .defaultSuccessUrl("/students", true)
              .and()
              .logout()
              .logoutUrl("/logout")
              .clearAuthentication(true)
              .invalidateHttpSession(true)
              .deleteCookies("JSESSIONID")
              .logoutSuccessUrl("/")
              .and()
              .authenticationProvider(authenticationProvider());
  
      return http.build();
  }
  

• 验证H2基础配置
  确保项目配置文件（如application.properties）里的H2控制台开关和路径正确：

  spring.h2.console.enabled=true
  spring.h2.console.path=/h2-console
  

之前用AntPathRequestMatcher("/h2-console/**")可能因为路径匹配的优先级或拦截顺序问题，没有完全覆盖H2控制台的所有请求路径。而PathRequest.toH2Console()是官方适配的匹配器，能精准匹配所有相关请求；另外缺少iframe配置会导致页面渲染失败，也会让你误以为访问被拦截。

内容的提问来源于stack exchange，提问作者Stefan