Spring Security 6中'/'端点白名单配置不生效问题

问题分析 #

你的配置已尝试将"/"加入白名单，但仍被要求认证，可能原因包括：

• 根路径访问时自动跳转的实际请求路径未被放行（比如Spring Boot默认跳转到/index.html）
• 路径匹配规则的细节差异
• 静态资源/默认页面的映射路径未覆盖完全

修复方案 #

方案1：补全所有可能的默认路径 #

如果访问"/"时会自动跳转到/index.html，你的配置仅放行"index"（缺少斜杠和后缀），导致跳转后的路径仍需认证。修改requestMatchers覆盖所有相关路径：

@Configuration
@EnableWebSecurity
public class ApplicationSecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        return http
                .authorizeHttpRequests(auth -> auth
                        .requestMatchers("/", "/index", "/index.html").permitAll()
                        .requestMatchers("/css/**", "/js/**").permitAll()
                        .anyRequest().authenticated()
                )
                .httpBasic(withDefaults())
                .build();
    }
}

方案2：使用Ant风格匹配器兼容旧规则 #

Spring Security 6默认的PathPatternParser是严格匹配模式，若存在适配问题，可显式使用AntPathRequestMatcher：

@Configuration
@EnableWebSecurity
public class ApplicationSecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        return http
                .authorizeHttpRequests(auth -> auth
                        .requestMatchers(AntPathRequestMatcher.antMatcher("/")).permitAll()
                        .requestMatchers(AntPathRequestMatcher.antMatcher("/index")).permitAll()
                        .requestMatchers(AntPathRequestMatcher.antMatcher("/css/**")).permitAll()
                        .requestMatchers(AntPathRequestMatcher.antMatcher("/js/**")).permitAll()
                        .anyRequest().authenticated()
                )
                .httpBasic(withDefaults())
                .build();
    }
}

方案3：排查资源映射细节 #

• 确认根路径("/")对应的控制器方法，确保@RequestMapping路径与配置中的匹配规则一致
• 检查src/main/resources/static下是否存在index.html，且Spring Boot静态资源配置未被自定义修改

验证调试 #

修改配置后重启应用，访问http://localhost:8080/确认是否跳过认证。若仍有问题，可开启调试日志查看请求匹配过程：
在application.properties中添加：

logging.level.org.springframework.security=DEBUG

内容的提问来源于stack exchange，提问作者Flurrih