Spring Security最新版本配置：h2-console无法免授权访问求助

你的配置问题主要出在拆分了authorizeHttpRequests()配置块，以及DispatcherType过滤范围未覆盖H2控制台的请求类型，导致权限规则未正确应用到H2控制台的请求上。

修正后的配置 #

将所有授权规则合并到同一个authorizeHttpRequests()块中，并明确指定匹配H2控制台所需的DispatcherType：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
            .authorizeHttpRequests(auth -> auth
                    // 允许H2控制台涉及的REQUEST和FORWARD类型请求
                    .dispatcherTypeMatchers(DispatcherType.REQUEST, DispatcherType.FORWARD).permitAll()
                    // 放行指定路径
                    .requestMatchers("/api/v1/auth/**", "/h2-console/**").permitAll()
                    // 其余请求需认证
                    .anyRequest().authenticated()
            )
            .httpBasic()
            .and()
            .csrf().disable()
            .headers().frameOptions().disable();

    return http.build();
}

关键说明 #

1. 合并授权规则块：多次调用authorizeHttpRequests()会重新构建授权规则链，导致前面的permitAll规则被后续配置覆盖或忽略，必须将所有规则放在同一个authorizeHttpRequests() lambda配置中。
2. 覆盖DispatcherType：H2控制台在页面跳转时会使用FORWARD类型的请求，默认情况下shouldFilterAllDispatcherTypes(false)只会过滤REQUEST类型，添加dispatcherTypeMatchers确保这类请求也能匹配到权限规则。
3. 保留必要的禁用配置：csrf().disable()和headers().frameOptions().disable()是H2控制台正常访问的必要条件，你的配置中已经包含，无需修改。

额外检查 #

如果应用配置了上下文路径，需确保/h2-console/**前加上上下文路径（例如/my-app/h2-console/**），但从你的/api/v1/auth/**能正常放行来看，路径应该是正确的。

内容的提问来源于stack exchange，提问作者Janek