Spring Security(JWT)集成H2控制台访问权限配置异常问题

你遇到的问题根源在于：只配置了路径放行，但H2控制台的正常访问还需要处理CSRF防护和X-Frame-Options限制，这两个是导致放行路径后仍无法访问的核心原因。

直接用下面的配置就能解决问题：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        // 忽略H2控制台的CSRF校验，避免拦截请求
        .csrf(csrf -> csrf
            .ignoringRequestMatchers("/h2/**")
        )
        // 授权规则：放行认证接口和H2控制台，其余请求必须认证
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/api/auth/**", "/h2/**").permitAll()
            .anyRequest().authenticated()
        )
        // 禁用X-Frame-Options，允许H2控制台通过iframe加载
        .headers(headers -> headers
            .frameOptions(frame -> frame.disable())
        );
    return http.build();
}

关键配置说明： #

• CSRF处理：H2控制台的交互请求会触发Spring Security的CSRF校验，必须明确忽略/h2/**路径的检查，否则请求会被直接拦截。
• X-Frame-Options：Spring Security默认会设置X-Frame-Options: DENY，而H2控制台是通过iframe渲染的，必须禁用这个限制才能正常显示页面。
• 注意不要同时设置frameOptions().disable()和frameOptions().sameOrigin()，这会导致配置冲突，保留disable()即可。

额外检查点： #

• 确认项目配置文件中开启了H2控制台：spring.h2.console.enabled=true，且控制台路径和你配置的/h2/**一致（如果是/h2-console/**，要同步修改requestMatchers里的路径）。
• 访问时确保URL正确，比如http://localhost:8080/h2（或你配置的端口和路径）。

内容的提问来源于stack exchange，提问作者Robs