Spring应用中Thymeleaf sec:authorize标签失效求助

问题描述 #

开发网站头部时，期望根据用户登录状态展示不同内容：未登录时显示Login、Register，登录后显示Logout。但sec:authorize标签完全不生效，所有链接始终显示，且无任何错误或警告提示。渲染后的HTML中sec属性仍保留未被处理。

相关代码与依赖 #

Thymeleaf头部模板代码 #

<!DOCTYPE html>
<html lang="en" xmlns:th="http://thymeleaf.org" xmlns:sec="https://www.thymeleaf.org/thymeleaf-extras-springsecurity5">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<header class="masthead mb-auto" th:fragment="header">
    <div class="cover-container d-flex h-100 p-3 mx-auto flex-column">
            <div class="inner">
                <div  class="Lucida_Handwriting">
                    <a class="Lg" href=".." >
                        <h3 class="logo-brand" id="Logo">Divorce app</h3>
                    </a>
                </div>
                <nav class="nav nav-masthead justify-content-center">
                    <a class="nav-link active" href="/" th:href="@{/}">Home</a>
                    <a sec:authorize="!isAuthenticated()" class="nav-link" href="/login" th:href="@{/login}">Login</a>
                    <a sec:authorize="isAuthenticated()" class="nav-link fw-bold py-1 px-0" href="/logout" th:href="@{/logout}">Logout</a>
                    <a sec:authorize="!isAuthenticated()" class="nav-link fw-bold py-1 px-0" href="/register" th:href="@{/register}">Register</a>
                    <a class="nav-link" href="/contact">Contact</a>
                </nav>
            </div>
    </div>
</header>
</body>
</html>

依赖配置（Spring Boot 3.0.1） #

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.thymeleaf.extras</groupId>
    <artifactId>thymeleaf-extras-springsecurity5</artifactId>
    <version>3.1.1.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-thymeleaf</artifactId>
</dependency>

渲染后保留sec属性的HTML片段 #

<a sec:authorize="!isAuthenticated()" class="nav-link" href="/login">Login</a>
<a sec:authorize="isAuthenticated()" class="nav-link fw-bold py-1 px-0" href="/logout">Logout</a>
<a sec:authorize="!isAuthenticated()" class="nav-link fw-bold py-1 px-0" href="/register">Register</a>

解决方案 #

1. 修正版本兼容性问题 #

Spring Boot 3.0.x适配的是Spring Security 6.x，而thymeleaf-extras-springsecurity5仅支持Spring Security 5.x，版本不匹配会导致标签无法被解析。需要替换为对应版本的依赖：

<!-- 移除旧的springsecurity5依赖 -->
<!-- 添加springsecurity6依赖，Spring Boot 3.x会自动管理版本 -->
<dependency>
    <groupId>org.thymeleaf.extras</groupId>
    <artifactId>thymeleaf-extras-springsecurity6</artifactId>
</dependency>

2. 修正sec命名空间 #

Spring Security 6对应的Thymeleaf命名空间已变更，替换模板中的命名空间：

xmlns:sec="http://www.thymeleaf.org/extras/spring-security"

原命名空间https://www.thymeleaf.org/thymeleaf-extras-springsecurity5不再适用，会导致Thymeleaf无法识别sec标签。

3. 确保Spring Security配置正确 #

必须存在带@EnableWebSecurity注解的配置类，并且配置了基础的认证与授权规则，示例配置：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/", "/register", "/login").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login")
                .permitAll()
            )
            .logout(logout -> logout
                .permitAll()
            );
        return http.build();
    }

    // 示例内存用户配置，可根据实际替换为数据库认证
    @Bean
    public UserDetailsService userDetailsService() {
        UserDetails user = User.withDefaultPasswordEncoder()
            .username("user")
            .password("password")
            .roles("USER")
            .build();
        return new InMemoryUserDetailsManager(user);
    }
}

4. 验证模板解析环境 #

• 确保模板文件存放在src/main/resources/templates目录下，Spring Boot默认扫描该目录的Thymeleaf模板。
• 控制器需正确返回模板名称，确保请求能映射到对应的模板页面。

5. 清理缓存并重启应用 #

清理项目构建缓存（Maven/Gradle缓存），重启Spring Boot应用，避免缓存导致的模板未更新问题。

内容的提问来源于stack exchange，提问作者EliteOneTube