Spring Boot 2.7.6多类别URL安全配置：指定路径放行+同类别跳转登录页

针对你的需求，需要分类别配置授权规则和对应登录页跳转，核心是放弃anyRequest()的全局匹配，改为按URL前缀逐个配置，并为每个类别单独指定登录页。以下是具体实现方案：

核心配置思路 #

1. 先放行所有类别下的特定登录URL（如/student/login/**、/category1/login/**等）
2. 为每个URL前缀（/student/**、/category1/**等）单独配置认证要求，并绑定对应的登录页
3. 确保每个登录页本身允许匿名访问

完整代码示例 #

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        // 1. 放行所有特定登录URL和各登录页
        .authorizeRequests()
            .antMatchers("/student/login/**", "/student/loginPage").permitAll()
            .antMatchers("/category1/login/**", "/category1/loginPage").permitAll()
            .antMatchers("/category2/login/**", "/category2/loginPage").permitAll()
            // 2. 为每个类别配置认证规则
            .antMatchers("/student/**").authenticated()
            .antMatchers("/category1/**").authenticated()
            .antMatchers("/category2/**").authenticated()
            // 3. 处理其他未匹配的URL（可选，根据需求调整）
            .anyRequest().authenticated()
            .and()
        // 4. 为每个类别配置对应的登录页跳转
        .formLogin()
            .loginPage("/student/loginPage")
            .loginProcessingUrl("/student/login") // 对应登录表单提交的URL
            .permitAll()
            .and()
        .formLogin()
            .loginPage("/category1/loginPage")
            .loginProcessingUrl("/category1/login")
            .permitAll()
            .and()
        .formLogin()
            .loginPage("/category2/loginPage")
            .loginProcessingUrl("/category2/login")
            .permitAll()
            .and()
        .httpBasic();

    return http.build();
}

关键说明 #

• 规则顺序：Spring Security的匹配规则是从上到下执行的，必须把permitAll()的规则放在对应的authenticated()规则前面，否则会被拦截。
• 多formLogin配置：每个formLogin()会为对应前缀的URL绑定登录页，当用户访问/student/**下未放行的URL时，会自动重定向到/student/loginPage。
• loginProcessingUrl：这个配置是指定登录表单提交的后端接口地址，需要和你前端表单的action属性对应，确保登录请求能被Spring Security处理。

如果需要更灵活的匹配（比如动态识别URL前缀），也可以自定义RequestMatcher来实现，但针对你的固定类别需求，上述配置已经足够简洁高效。

内容的提问来源于stack exchange，提问作者Davide Palomo