Spring Security拦截样式文件访问，重启后问题复发求助

问题场景 #

Spring项目集成Bootstrap和自定义CSS，启动后部分样式失效。通过Chrome开发者工具Network面板发现，样式文件请求被重定向到http://localhost:8080/login，尽管已在SecurityFilterChain中配置了/static/**等路径的放行权限。注释Spring Security依赖及相关类后样式恢复正常，取消注释后短暂正常，但重启电脑再启动项目时问题重现。

当前SecurityFilterChain配置：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
            .authorizeHttpRequests((requests) -> requests
                    .requestMatchers("/", "/reg", "/registration/**", "/static/**", "/static/images/**", "/static/styles/**").permitAll()
                    .anyRequest().authenticated()
            )
            .formLogin((form) -> form
                    .loginPage("/login")
                    .failureUrl("/login_error")
                    .defaultSuccessUrl("/pc")
                    .permitAll()
            )
            .logout((logout) -> logout.permitAll().logoutSuccessUrl("/"));

    return http.build();
}

问题原因 #

1. 静态资源路径匹配不匹配：Spring Boot默认会将classpath:/static/下的资源映射到根路径（即访问/styles/main.css对应static/styles/main.css），但你配置的放行路径是/static/**，实际请求的样式文件路径并不包含/static前缀，因此Security会拦截这些请求并重定向到登录页。
2. 浏览器缓存干扰：取消注释Security依赖后，浏览器可能缓存了之前未被拦截的静态资源请求，因此短暂正常；重启电脑后缓存失效，新的请求触发Security拦截，问题重现。
3. 配置生效优先级问题：若项目中存在多个SecurityFilterChain Bean，可能导致当前配置未优先生效，不过此场景概率较低。

解决方法 #

1. 修正Security放行路径：
   调整requestMatchers，匹配实际的静态资源访问路径，替换原有的/static/**等路径为：

   .requestMatchers("/", "/reg", "/registration/**", "/styles/**", "/images/**", "/*.css", "/*.js", "/*.png").permitAll()
   

   或者更通用地匹配所有静态资源后缀：

   .requestMatchers("/", "/reg", "/registration/**", "/**/*.css", "/**/*.js", "/**/*.png", "/**/*.jpg").permitAll()
   

2. 确认静态资源映射配置：
   在application.properties或application.yml中显式配置静态资源路径（默认已生效，可确认无误）：

   spring.web.resources.static-locations=classpath:/static/
   

3. 清除浏览器缓存：
   强制刷新页面（Ctrl+F5），或清除浏览器缓存，避免旧缓存请求影响。

4. 检查多Security配置冲突：
   确保项目中只有一个SecurityFilterChain Bean，若存在多个，可通过@Order注解指定优先级，确保当前配置优先生效。

内容的提问来源于stack exchange，提问作者Elizaveta Titova