Spring Security配置问题：GET /shapes仍返回401未授权

你的核心问题是指定了permitAll()的路径仍被拦截，根源在于Spring Security的路径匹配策略与Spring MVC控制器的匹配逻辑不一致，或存在规则顺序的潜在冲突。以下是具体修复方案：

方案一：用mvcMatchers替代antMatchers #

antMatchers采用Ant路径匹配规则，而mvcMatchers会遵循Spring MVC的路径匹配逻辑（自动处理尾斜杠、路径变量等），和控制器@GetMapping/@PostMapping的匹配方式完全一致，能避免大部分路径匹配问题。

修改后的配置代码：

@Override
public void configure(HttpSecurity http) throws Exception {
    http
        .httpBasic()
            .and()
        .authorizeRequests()
            // 先配置需要权限的请求
            .mvcMatchers(HttpMethod.POST, "/shapes").hasAnyAuthority("USER")
            .mvcMatchers(HttpMethod.PUT, "/shapes").hasAnyAuthority("USER")
            // 再配置允许匿名的请求
            .mvcMatchers(HttpMethod.GET, "/shapes").permitAll()
            .mvcMatchers("/users", "/shapes/history").permitAll()
            // 最后配置剩余请求需认证
            .anyRequest().authenticated()
            .and()
        .cors()
            .and()
        .csrf()
            .disable();
}

方案二：检查控制器额外权限注解 #

如果@GetMapping("/shapes")或@GetMapping("/shapes/history")方法上添加了@PreAuthorize、@Secured等注解，这些注解会优先于Spring Security全局配置生效，导致路径被拦截。需移除这类注解，或调整注解内的权限规则。

方案三：调整规则顺序（可选优化） #

虽然当前顺序逻辑上可行，但将允许匿名的规则放在需要权限的规则之前，能让配置更清晰，避免后续添加规则时出现顺序冲突：

.authorizeRequests()
    .mvcMatchers(HttpMethod.GET, "/shapes").permitAll()
    .mvcMatchers("/users", "/shapes/history").permitAll()
    .mvcMatchers(HttpMethod.POST, "/shapes").hasAnyAuthority("USER")
    .mvcMatchers(HttpMethod.PUT, "/shapes").hasAnyAuthority("USER")
    .anyRequest().authenticated()

内容的提问来源于stack exchange，提问作者Lulex97