如何禁用Spring Boot Actuator身份验证？已尝试相关方案无效

数据老陈

2026-7-12

问题说明

我尝试了所有能找到的Spring Security配置方案，全部无效，尤其是以下这段配置：

@Bean
SecurityFilterChain filterChain(final HttpSecurity http) throws Exception {
  return http
        .authorizeHttpRequests(authorize -> authorize 
           .requestMatchers(EndpointRequest.to(HealthEndpoint.class)).permitAll()
           .anyRequest())
        .build();
}

排查修复方案

补全anyRequest()的权限规则：你这段配置里.anyRequest()没有指定任何权限约束，属于不完整配置，Spring Security无法正确生效。必须补充规则，比如需要认证的话改成.anyRequest().authenticated()，或者根据需求设置.permitAll()等。
直接用路径匹配端点：EndpointRequest可能因为Actuator配置差异导致匹配失败，换成直接指定路径更稳妥，比如.requestMatchers("/actuator/health").permitAll()。
检查多配置类冲突：如果项目中有多个SecurityFilterChain Bean，Spring会按优先级执行，可能覆盖当前配置。可以给当前配置类加上@Order(1)（数值越小优先级越高），或者删除无用的冗余配置。
确认端点暴露配置：在application.properties或application.yml中必须配置management.endpoints.web.exposure.include=health，否则Health端点不会对外暴露，配置了权限也无法访问。
开启调试日志定位问题：添加日志配置logging.level.org.springframework.security=DEBUG，查看请求到达后的匹配流程、权限校验细节，直接定位失效原因。