Spring Security 6中requestMatchers().permitAll()不生效问题排查

核心原因分析 #

你的问题本质是请求匹配规则未命中目标路径，结合日志线索可定位：

• 请求映射到静态资源处理器：说明/实际对应静态资源（如index.html），而非控制器方法
• 使用AuthenticatedAuthorizationManager：证明这些请求仍被认证拦截规则匹配，未触发permitAll逻辑

具体解决步骤 #

1. 调整请求匹配规则，覆盖静态资源路径 #

如果/是静态首页（比如src/main/resources/static/index.html），需要将静态资源的实际映射路径也加入放行规则：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                // 放行目标路径+对应的静态资源实际路径
                .requestMatchers("/", "/stuff4", "/index.html").permitAll()
                // 其余路径需认证
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login")
                .permitAll()
            );
        return http.build();
    }
}

2. 用WebSecurity直接忽略无需拦截的路径（更彻底） #

如果这些路径完全不需要安全拦截（比如纯静态资源、公开页面），可以通过WebSecurity跳过整个Security过滤器链，避免路径匹配的细节问题：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    // 忽略指定路径的安全拦截
    @Bean
    public WebSecurityCustomizer webSecurityCustomizer() {
        return web -> web.ignoring()
            .requestMatchers("/", "/stuff4");
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login")
                .permitAll()
            );
        return http.build();
    }
}

3. 确认请求匹配顺序与路径匹配器一致性 #

Spring Security的规则是从上到下匹配，命中即停止，确保permitAll的规则放在所有认证拦截规则之前。另外，检查是否自定义了路径匹配器，确保其与Spring MVC的路径匹配逻辑一致（比如是否启用了尾斜杠匹配）。

4. 验证请求实际URI #

通过日志确认请求的完整URI（比如是否是/还是/index.html），确保requestMatchers的路径与实际请求完全匹配。

内容的提问来源于stack exchange，提问作者It is what it is