Spring Security+OAuth2下静态网页免认证访问失效问题排查

API 探路者

2026-7-25

Spring Boot OAuth2配置中静态HTML页面无法公开访问的原因及修复方案

核心原因分析

请求路径匹配错误
从日志可见，实际访问的路径是/home.html，但当前Security配置的requestMatchers使用了/resources/static/*.html、/static/*.html这类带前缀的路径。Spring Boot默认会将classpath:/static/下的文件映射到根路径（比如static/home.html对应URL为/home.html），无需额外添加/static前缀，导致配置的规则无法匹配真实请求。
配置代码存在语法逻辑问题
在authorizeHttpRequests的lambda内部添加了try-catch块，这会破坏Spring Security的链式配置逻辑。一旦代码块内抛出异常，后续的认证配置（如oauth2Login）无法正确绑定到HttpSecurity实例，甚至会导致整个授权规则失效。

修复方案

1. 修正请求路径匹配规则

调整requestMatchers以匹配实际访问路径，直接针对静态资源的根路径文件及相关资源：

@Bean
SecurityFilterChain web(HttpSecurity http) throws Exception {
    http.authorizeHttpRequests(authorize -> authorize                                  
            .requestMatchers("/*.html", "/assets/**").permitAll()  
            .anyRequest().authenticated()
        )
        .oauth2Login(oauth2 -> oauth2
            .userInfoEndpoint(userInfo -> userInfo
                .oidcUserService(new AzureOAuth2UserService())
            )
        );
    return http.build();
}