Spring Boot 3.1+Spring Security 6.1中authorizeHttpRequests permitAll不生效

核心问题定位 #

你的Lambda风格Spring Security配置不生效，本质是SecurityFilterChain Bean未被Spring容器加载，导致自定义配置完全没起作用，@EnableWebSecurity(debug = true)也无法输出日志。

逐步排查与修复 #

1. 确认Spring Security版本兼容性

Lambda风格的DSL是**Spring Security 5.7.0+**才引入的特性，必须确保你的依赖版本匹配：

• Spring Boot 2.7.x 对应 Spring Security 5.7.x
• Spring Boot 3.x 对应 Spring Security 6.x

检查pom.xml（Maven）或build.gradle（Gradle）中的依赖版本，避免版本不兼容导致语法失效。

2. 确保配置类被Spring扫描

@Configuration注解的类必须在Spring Boot组件扫描范围内：

• 主启动类的包路径是扫描根目录（比如主类在com.example.demo，配置类需放在com.example.demo或其子包下）
• 如果配置类在扫描范围外，需在主启动类添加@ComponentScan(basePackages = "你的配置类包路径")

可以在配置类中添加初始化日志验证是否被加载：

@PostConstruct
public void init() {
    System.out.println("SecurityConfig 已被Spring容器加载");
}

如果控制台没输出这条日志，说明配置类根本没被扫描到，优先解决这个问题。

3. 排除默认Security自动配置冲突

Spring Boot默认会自动加载SecurityAutoConfiguration，可能会覆盖你的自定义配置。在主启动类中排除自动配置：

@SpringBootApplication(exclude = {
    SecurityAutoConfiguration.class,
    UserDetailsServiceAutoConfiguration.class
})
public class YourApplication {
    public static void main(String[] args) {
        SpringApplication.run(YourApplication.class, args);
    }
}

4. 优化Lambda风格配置（简化版）

如果只是要暂时放行所有路由，可简化配置，禁用不必要的认证方式避免干扰：

@EnableWebSecurity(debug = true)
@Configuration
public class SecurityConfig {
    @Bean
    SecurityFilterChain web(HttpSecurity http) throws Exception {
        http
                .csrf(csrf -> csrf.disable())
                .cors(cors -> cors.disable())
                .sessionManagement(session -> 
                        session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                )
                .authorizeHttpRequests(authorize -> 
                        authorize.anyRequest().permitAll()
                )
                .formLogin(form -> form.disable()) // 禁用默认表单登录
                .httpBasic(basic -> basic.disable()); // 禁用HTTP Basic认证
        return http.build();
    }
}

5. 开启Spring Security调试日志

确保日志配置中开启Spring Security的DEBUG级别，才能看到@EnableWebSecurity(debug = true)的输出。在application.yml中添加：

logging:
  level:
    org.springframework.security: DEBUG

内容的提问来源于stack exchange，提问作者Ali BEN AMOR