Spring Security配置疑问：未配置接口是否无防护？多匹配器失效问题

问题1：未配置的/api/third接口无Spring Security日志，是否处于无安全防护状态？ #

分两种场景判断：

• 若你的SecurityConfig授权规则结尾包含anyRequest().authenticated()：
  /api/third实际仍受Spring Security保护，要求用户认证。无日志大概率是日志级别未开启到DEBUG，在配置文件中添加以下配置即可查看完整认证流程日志：

  logging:
    level:
      org.springframework.security: DEBUG
  

• 若你的SecurityConfig中没有anyRequest().authenticated()：
  未显式配置的路径会被默认放行，确实处于无安全防护状态，任意用户可直接访问。

问题2：新增/api/third/**的ADMIN角色配置后，/api/second/**无认证日志，非ADMIN访问/third返回403 #

针对/api/second/**无日志的问题 #

核心原因是Spring Security规则匹配顺序优先级：规则从上到下执行，匹配到第一条符合规则后即停止后续匹配。常见错误及修复方式：

1. 兜底规则前置：如果把anyRequest().authenticated()放在/api/second/**规则之前，会导致所有请求（包括/second）都被兜底规则匹配，后续的/second规则失效。
   正确配置顺序（具体路径在前，兜底规则在后）：

   @Bean
   public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
       http
           .authorizeHttpRequests(auth -> auth
               // 最具体的路径优先匹配
               .requestMatchers("/api/third/**").hasRole("ADMIN")
               // 匹配first和second的认证规则
               .requestMatchers("/api/first/**", "/api/second/**").authenticated()
               // 最后兜底所有未匹配的请求
               .anyRequest().authenticated()
           )
           // 必须开启至少一种认证方式（如表单登录、HttpBasic），否则认证流程无法触发
           .formLogin(Customizer.withDefaults());
       return http.build();
   }
   

2. 日志级别未开启：同样检查是否开启了Spring Security的DEBUG日志，未开启的话即使触发认证也不会打印日志。

针对非ADMIN访问/third返回403的问题 #

这是符合配置预期的行为：你明确要求/api/third/**需要ADMIN角色，非ADMIN用户权限不足，Spring Security会返回403 Forbidden。若不符合需求，可按场景调整规则：

• 允许多角色访问：将hasRole("ADMIN")改为hasAnyRole("ADMIN", "USER")
• 仅要求认证（不限制角色）：将hasRole("ADMIN")改为authenticated()

内容的提问来源于stack exchange，提问作者DJViking