Spring Boot中SecurityFilterChain的permitAll()不生效问题排查

你的代码核心存在两个关键问题：

1. 配置拆分导致的潜在优先级问题 #

你将授权规则与认证方式的配置拆分成了两段代码，虽然逻辑上没问题，但Spring Security的链式配置更推荐将所有配置整合到一个调用链中，避免因配置顺序或加载优先级引发的规则失效。

2. 认证方式与需求不匹配 #

你最初的代码片段里配置了表单登录，但完整代码中换成了httpBasic——它会触发浏览器自带的登录弹窗，而非跳转到自定义登录页。同时如果坚持用表单登录，必须确保登录页路径本身允许匿名访问，否则会陷入“访问登录页需要登录”的循环。

修正后的代码 #

@Configuration
@EnableWebSecurity
@EnableMethodSecurity(prePostEnabled = false)
public class SecurityConfig {

    @Bean
    public WebSecurityCustomizer webSecurityCustomizer() {
        return (web) -> web.ignoring()
                .requestMatchers(PathRequest.toStaticResources().atCommonLocations());
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf(AbstractHttpConfigurer::disable)
            // 配置授权规则
            .authorizeHttpRequests(authz -> authz
                    .requestMatchers("/", "/auth/**").permitAll() // 允许根路径和/auth下所有子路径匿名访问
                    .anyRequest().authenticated() // 其余所有路径必须认证
            )
            // 使用自定义表单登录（符合你最初的代码意图）
            .formLogin(form -> form
                    .loginPage("/auth/loginForm") // 指定自定义登录页路径
                    .permitAll() // 允许匿名访问登录页，避免循环
            );
            // 若你确实需要HTTP Basic认证（浏览器弹窗），替换上面的formLogin为以下配置
            //.httpBasic(Customizer.withDefaults());

        return http.build();
    }
}

额外检查项 #

• 确认应用无上下文路径干扰：如果配置了server.servlet.context-path，requestMatchers中的路径是相对于该上下文的，比如上下文为/app，则访问路径应为localhost:8080/app/auth/joinForm
• 排查是否存在其他SecurityFilterChain Bean：Spring Security会加载所有该类型Bean，优先级更高的配置会覆盖当前规则
• 验证控制器路径拼写：确保/auth/joinForm对应的控制器@RequestMapping路径完全匹配，无拼写错误

内容的提问来源于stack exchange，提问作者cocokik