Spring Boot 3 OAuth2中requestMatchers放行Actuator接口无效求助

核心原因分析 #

Spring Security6.x（对应Spring Boot3）在请求匹配器实现、配置优先级上和5.x版本存在差异，从旧的WebSecurityConfigurerAdapter迁移到SecurityFilterChain时，容易因匹配器类型、配置顺序导致放行规则不生效。

具体解决步骤 #

• 指定正确的请求匹配器类型
  Spring Security6中，requestMatchers默认采用Servlet路径匹配，而Actuator端点基于Spring MVC路由，建议显式使用MvcRequestMatcher保证匹配精度：

  @Bean
  public SecurityFilterChain filterChain(HttpSecurity http, HandlerMappingIntrospector introspector) throws Exception {
      MvcRequestMatcher.Builder mvcMatcherBuilder = new MvcRequestMatcher.Builder(introspector);
      
      http
          .csrf().disable()
          .cors().disable()
          .sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers(mvcMatcherBuilder.pattern("/actuator/**")).permitAll()
              .anyRequest().authenticated())
          .oauth2ResourceServer(oauth2 -> oauth2
              .jwt(jwt -> jwt.jwtAuthenticationConverter(jwtAuthenticationConverter())));
      return http.build();
  }
  

  注：需注入HandlerMappingIntrospector来构建MvcRequestMatcher。

• 统一链式配置顺序
  避免拆分多个http.xxx()调用，将所有配置放在同一个链式调用中，保证规则按配置顺序执行（Spring Security规则优先级由配置顺序决定）。

• 校验Actuator端点暴露配置
  在配置文件中确保Actuator端点已正确暴露：

  management.endpoints.web.exposure.include=*
  management.endpoint.health.show-details=always
  

  若不需要Actuator自带的安全控制，可直接关闭：

  management.security.enabled=false
  

• 开启调试日志排查
  添加日志配置，查看请求匹配的具体过程：

  logging.level.org.springframework.security=DEBUG
  

  通过日志可确认/actuator/info请求是否命中permitAll规则，还是被后续认证逻辑拦截。

• 排查JWT转换器逻辑
  确认jwtAuthenticationConverter()没有对放行路径做额外认证处理，permitAll路径不会进入JWT认证流程，但如果转换器存在全局拦截逻辑，需针对性调整。

内容的提问来源于stack exchange，提问作者myborobudur