配置permitAll后Spring Security仍强制跳转登录页面问题排查

你遇到的核心问题是/home/public路径未被正确匹配到permitAll规则，导致被anyRequest().authenticated()拦截并重定向到登录页。以下是具体排查与修复步骤：

1. 统一路径格式，修正匹配规则 #

你的配置中部分路径（home/normal、home/admin）缺少前导斜杠，而/home/public带有前导斜杠，这种格式不一致可能导致Spring Security的路径匹配逻辑偏差。将所有路径统一添加前导斜杠，确保请求路径与配置规则完全匹配：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity sec) throws Exception {
    sec.csrf().disable()
            .authorizeHttpRequests()
            // 统一添加前导斜杠，保持路径格式一致
            .requestMatchers("/home/normal").hasRole("NORMAL")
            .requestMatchers("/home/admin").hasRole("ADMIN")
            .requestMatchers("/home/public", "/home/add").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin();
    return sec.build();
}

2. 检查是否存在冲突的SecurityFilterChain #

如果项目中存在多个SecurityFilterChain Bean，Spring Security会依据@Order注解的优先级执行。若有其他优先级更高的配置覆盖当前规则，会导致/home/public的权限设置失效。可给当前配置添加明确优先级（数值越小优先级越高）：

@Order(1)
@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity sec) throws Exception {
    // 配置内容同上
}

3. 开启调试日志排查匹配逻辑 #

若上述修改后问题仍存在，开启Spring Security调试日志，查看请求实际匹配的规则：
在application.properties中添加日志配置：

logging.level.org.springframework.security=DEBUG

访问/home/public后，查看日志中FilterChainProxy相关输出，会明确显示当前请求被哪个权限规则匹配到，以此定位问题根源。

4. 验证控制器路径与请求路径一致性 #

确保控制器映射路径与实际请求路径完全一致，比如控制器使用：

@GetMapping("/home/public")
public String publicHome() {
    return "public-home";
}

请求时使用完整路径（假设应用上下文为根路径）：http://localhost:8080/home/public

内容的提问来源于stack exchange，提问作者Cooler166