如何使用Lambda DSL实现h2-console的安全配置？

Spring官方推荐使用Lambda DSL进行安全配置，我了解不使用Lambda时H2-Console的安全配置方式，代码如下：

public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
        .antMatchers("/h2-console/**").authenticated()
        .anyRequest().authenticated()
        .and().formLogin()
        .and().csrf().ignoringAntMatchers("/h2-console/**")
        .and().headers().frameOptions().sameOrigin();
    return http.build();
}

按照官方教程尝试Lambda写法后，出现如下错误：

The method csrf() is undefined for the type FormLoginConfigurer

尝试了多种写法均无法正常运行，请问如何使用Lambda DSL实现H2-Console的安全配置？

解决方案 #

问题核心是链式调用的上下文切换：非Lambda写法通过.and()回到HttpSecurity上下文，但Lambda DSL中，若直接调用.formLogin()而不用Lambda包裹，上下文会停留在FormLoginConfigurer（该类没有csrf()方法），导致报错。

正确的Lambda DSL写法如下：

public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        // 配置请求授权规则
        .authorizeRequests(authz -> authz
            .antMatchers("/h2-console/**").authenticated()
            .anyRequest().authenticated()
        )
        // 用Lambda配置表单登录，自动回到HttpSecurity上下文
        .formLogin(form -> {
            // 可在此添加表单登录的自定义配置，比如loginPage("/login")等
            // 无额外配置时也可以留空
        })
        // 配置CSRF忽略规则
        .csrf(csrf -> csrf
            .ignoringAntMatchers("/h2-console/**")
        )
        // 配置frameOptions允许同源访问H2控制台
        .headers(headers -> headers
            .frameOptions(frame -> frame
                .sameOrigin()
            )
        );
    return http.build();
}

简化写法（无额外表单登录配置） #

如果不需要对表单登录做自定义配置，可以用Customizer.withDefaults()快速回到HttpSecurity上下文：

public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        .authorizeRequests(authz -> authz
            .antMatchers("/h2-console/**").authenticated()
            .anyRequest().authenticated()
        )
        .formLogin(Customizer.withDefaults())
        .csrf(csrf -> csrf.ignoringAntMatchers("/h2-console/**"))
        .headers(headers -> headers.frameOptions(frame -> frame.sameOrigin()));
    return http.build();
}

关键说明 #

Lambda DSL的设计目标是通过类型安全的Lambda表达式替代.and()，每个配置器（如authorizeRequests、formLogin）通过Lambda包裹后，会自动返回HttpSecurity上下文，确保后续配置方法（如csrf()、headers()）能正常调用。

内容的提问来源于stack exchange，提问作者JJJohn