如何在多个SecurityFilterChain中添加额外的requestMatchers？

在Spring Boot 3的Spring Security中，多个SecurityFilterChain Bean是独立工作、按优先级匹配的，并非互相扩展的关系。每个FilterChain的HttpSecurity上下文完全独立，不会继承或叠加其他FilterChain的规则。你遇到的问题本质是：第一个FilterChain的匹配范围覆盖了所有请求，导致第二个FilterChain根本没有触发的机会；同时两个链的规则逻辑没有明确的划分边界。

解决方案一：合并为单个FilterChain（推荐） #

如果只是需要新增开放路径，直接将所有规则合并到同一个FilterChain中是最简洁可靠的方式：

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                // 同时配置两个开放路径
                .requestMatchers("/api/core/**", "/api/module2/**").permitAll()
                // 其余所有请求必须认证
                .anyRequest().authenticated()
            )
            // 可根据需求添加其他安全配置，比如表单登录、OAuth2等
            .formLogin(form -> form.permitAll());
            
        return http.build();
    }
}

解决方案二：使用多个独立FilterChain（适用于差异化规则场景） #

如果确实需要为不同路径配置完全独立的安全规则（比如/api/module2/**需要特殊的认证方式），需为每个FilterChain明确指定匹配范围，并用@Order设置优先级，确保特定路径的链先被匹配：

@Configuration
public class SecurityConfig {

    // 优先级更高（数字越小优先级越高），专门处理/api/module2/**路径
    @Bean
    @Order(0)
    public SecurityFilterChain module2SecurityFilterChain(HttpSecurity http) throws Exception {
        http
            // 仅匹配/api/module2/**路径
            .requestMatcher(new AntPathRequestMatcher("/api/module2/**"))
            .authorizeHttpRequests(auth -> auth
                .anyRequest().permitAll()
            );
            
        return http.build();
    }

    // 优先级稍低，处理/api/core/**及其他所有请求
    @Bean
    @Order(1)
    public SecurityFilterChain coreSecurityFilterChain(HttpSecurity http) throws Exception {
        http
            // 匹配所有未被其他链处理的请求
            .requestMatcher(new AntPathRequestMatcher("/**"))
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/core/**").permitAll()
                .anyRequest().authenticated()
            );
            
        return http.build();
    }
}

关键注意事项 #

• 每个SecurityFilterChain的HttpSecurity是独立实例，无法读取其他链的配置，这是Spring Security的设计逻辑。
• 若多个FilterChain的匹配范围重叠，优先级高的链会先处理请求，后续链不会被触发。
• 除非有明确的差异化规则需求，否则优先使用单个FilterChain，避免配置复杂度和冲突。

内容的提问来源于stack exchange，提问作者Ole K