Spring Boot多Security配置冲突：POST方法不支持问题

核心原因 #

当多个WebSecurityConfigurerAdapter配置类共存时，过滤器链执行顺序和请求匹配规则冲突是触发该异常的关键：

• 未指定@Order注解时，Spring会按配置类加载顺序执行过滤器链，优先级高的配置（如Admin）可能拦截宿管员的登录POST请求，而该配置并未放行对应路径的POST方法。
• 两个配置的请求匹配范围若重叠，会导致宿管员登录请求被错误路由到Admin的安全规则中，而Admin配置未允许该POST请求。

具体修复步骤 #

1. 为配置类指定执行顺序 #

在两个配置类上添加@Order注解，明确过滤器链优先级，同时用antMatcher()限定各自负责的路径范围：

// AdminSecurityConfig
@Configuration
@Order(1) // 优先级更高，仅处理管理员路径
public class AdminSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .antMatcher("/admin/**")
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/admin/login")
                .loginProcessingUrl("/admin/login") // 管理员登录POST路径
                .permitAll()
                .and()
            .logout()
                .logoutUrl("/admin/logout")
                .permitAll();
    }
}

// MASTERSecurityConfig
@Configuration
@Order(2) // 优先级低于Admin，仅处理宿管员路径
public class MASTERSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .antMatcher("/master/**")
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/master/login")
                .loginProcessingUrl("/master/login") // 宿管员登录POST路径
                .permitAll()
                .and()
            .logout()
                .logoutUrl("/master/logout")
                .permitAll();
    }
}

2. 确保登录POST路径被放行 #

每个配置的loginProcessingUrl对应的路径必须通过permitAll()放行，且该路径不能被其他配置的拦截规则覆盖。

3. 避免全局规则冲突 #

禁止在未限定路径范围的配置中使用anyRequest()，必须通过antMatcher()或mvcMatcher()明确每个配置的负责路径，确保请求只会被对应配置处理。

4. 检查CSRF配置（可选） #

若禁用CSRF，需保证两个配置保持一致：

// 在configure方法中添加
http.csrf().disable();

注意：生产环境不建议禁用CSRF，若启用需确保登录表单包含CSRF令牌。

验证方法 #

1. 启动应用后，提交宿管员登录POST请求到/master/login，检查异常是否消失。
2. 查看Spring Boot日志，确认请求是否被正确路由到MASTERSecurityConfig的过滤器链中。

内容的提问来源于stack exchange，提问作者Giddy