Spring Security双登录页配置问题：/admin自定义/actuator默认

问题根源 #

你的配置存在以下关键问题导致权限控制失效：

• 内部配置类AdminAppConfiguration的构造方法名称错误（写成了AppConfiguration），导致依赖注入失败，用户权限配置未生效
• 路径匹配规则错误：/admin*无法匹配/admin/开头的子路径，/actuator无法覆盖所有Actuator端点
• 密码未使用PasswordEncoder加密，Spring Security 5+强制要求密码加密，明文密码会被拒绝
• 第二个配置未明确指定匹配范围，导致规则覆盖逻辑混乱

修复后的完整配置代码 #

@Configuration
@EnableWebSecurity
public class MySecurityConfig {

    @Bean
    public PasswordEncoder passwordEncoder() {
        // 生产环境建议使用BCryptPasswordEncoder，这里示例用NoOp方便测试（不推荐生产）
        return NoOpPasswordEncoder.getInstance();
    }

    @Configuration
    @Order(1)
    public static class AdminAppConfiguration {

        private final AdminEnvironmentProperties adminEnvironmentProperties;
        private final PasswordEncoder passwordEncoder;

        // 修复构造方法名称，注入PasswordEncoder
        public AdminAppConfiguration(AdminEnvironmentProperties adminEnvironmentProperties, PasswordEncoder passwordEncoder) {
            this.adminEnvironmentProperties = adminEnvironmentProperties;
            this.passwordEncoder = passwordEncoder;
        }

        @Bean
        public LogoutSuccessHandler logoutSuccessHandler() {
            return new AdminLogoutSuccessHandler();
        }

        @Bean
        public AuthenticationManager authManager(HttpSecurity http) throws Exception {
            AuthenticationManagerBuilder authenticationManagerBuilder = http.getSharedObject(AuthenticationManagerBuilder.class);

            // 使用PasswordEncoder加密密码
            authenticationManagerBuilder.inMemoryAuthentication()
                    .withUser("Admin")
                    .password(passwordEncoder.encode("changeme"))
                    .authorities(adminEnvironmentProperties.getAllowGroup());

            return authenticationManagerBuilder.build();
        }

        @Bean
        public SecurityFilterChain adminSecurityFilterChain(HttpSecurity http) throws Exception {
            // 修正路径匹配规则为/admin/**，覆盖所有子路径
            http.antMatcher("/admin/**")
                    .authorizeRequests()
                    .anyRequest().hasAuthority(adminEnvironmentProperties.getAllowGroup())
                    .and()
                    .formLogin()
                    .loginPage("/admin/login")
                    .permitAll() // 允许所有人访问登录页
                    .and()
                    .logout()
                    .permitAll()
                    .logoutSuccessHandler(logoutSuccessHandler())
                    .and()
                    .csrf().disable();

            return http.build();
        }
    }

    @Configuration
    @Order(2)
    public static class OtherAppConfiguration {

        @Bean
        public SecurityFilterChain actuatorSecurityFilterChain(HttpSecurity http) throws Exception {
            // 明确指定匹配/actuator/**路径
            http.antMatcher("/actuator/**")
                    .csrf().disable()
                    .authorizeRequests()
                    .anyRequest().authenticated()
                    .and()
                    .httpBasic(); // 使用Spring标准的HTTP Basic登录页

            // 单独配置其他无需认证的路径
            http.antMatcher("/**")
                    .csrf().disable()
                    .authorizeRequests()
                    .anyRequest().permitAll();

            return http.build();
        }
    }
}

关键修改说明 #

1. 修复构造方法名称：将AppConfiguration改为AdminAppConfiguration，确保依赖注入正常
2. 添加PasswordEncoder：Spring Security要求密码必须加密，示例用NoOpPasswordEncoder方便测试，生产环境请替换为BCryptPasswordEncoder
3. 修正路径匹配：
   • /admin/**匹配所有/admin开头的子路径（如/admin/dashboard、/admin/login）
   • /actuator/**覆盖所有Actuator端点（如/actuator/health、/actuator/info）
4. 拆分规则逻辑：第二个配置明确拆分Actuator和其他路径的规则，避免覆盖混乱
5. 过滤器链命名：将两个securityFilterChain方法分别命名为adminSecurityFilterChain和actuatorSecurityFilterChain，避免Bean名称冲突

额外注意事项 #

• 确保/admin/login接口已实现，返回自定义登录页面
• 生产环境禁止使用NoOpPasswordEncoder，推荐使用new BCryptPasswordEncoder()
• 如果使用Spring Boot Actuator，需在application.properties中开启需要的端点：

  management.endpoints.web.exposure.include=*
  management.endpoint.health.show-details=always
  

内容的提问来源于stack exchange，提问作者Randall Stephens