Spring Boot配置/dashboard端点放行后仍要求认证的问题

我来帮你排查这个问题，你遇到的情况是明明给/dashboard配置了permitAll，但第一次访问还是跳登录页面，咱们一步步来解决：

1. 先确认Security配置类是否被正确加载 #

Spring Boot只会自动扫描主启动类（带@SpringBootApplication的类）所在包及其子包下的配置类。如果你的SecurityConfiguration类放在了主启动类的包外，Spring就会找不到这个配置，转而使用默认的Security规则（默认所有请求都需要认证）。

• 你可以把SecurityConfiguration移到主启动类的包或子包下，比如主启动类在com.example.demo，就把配置类放到com.example.demo.config里；
• 或者直接在主启动类上加上@Import(SecurityConfiguration.class)，强制导入这个配置类试试。

2. 调整请求匹配规则，明确指定请求方法 #

你的Controller只处理/dashboard的GET请求，所以可以在配置里明确匹配GET方法，避免模糊匹配导致的问题：

import org.springframework.http.HttpMethod;

// ... 其他配置代码
.authorizeHttpRequests(auth -> auth
    // 明确匹配GET请求的/dashboard
    .requestMatchers(HttpMethod.GET, "/dashboard").permitAll()
    .anyRequest().authenticated()
)

3. 启用调试日志，查看请求匹配细节 #

在application.properties里添加日志配置，开启Spring Security的调试模式：

logging.level.org.springframework.security=DEBUG

启动应用后访问localhost:8080/dashboard，查看控制台日志，重点找这几行：

• 有没有显示Checking match of request : '/dashboard'; against '/dashboard'
• 有没有Attributes: [permitAll]的字样
  如果日志显示请求没匹配到permitAll规则，而是走到了anyRequest().authenticated()，那可能是路径拼写错误、大小写不一致，或者你实际访问的路径带了尾斜杠（比如/dashboard/）。

4. 避免类名冲突问题 #

你的UserDetailsService类名和Spring Security的同名接口完全一样，虽然Spring暂时能识别，但容易引发潜在的装配混淆。建议把你的类重命名为CustomUserDetailsService：

@Component
public class CustomUserDetailsService implements org.springframework.security.core.userdetails.UserDetailsService {
    // ... 你的原有代码不变
}

5. 清除浏览器缓存和Cookie #

有时候浏览器保存的旧会话Cookie会导致不必要的登录跳转，你可以试试用无痕模式访问localhost:8080/dashboard，或者清除浏览器的Cookie后再试。

另外，顺便提个小问题：你的UserDetailsService里的角色设置有隐患，如果user.getRoles()是集合或枚举集合，直接用String.valueOf()会把集合转成类似[ADMIN, USER]的字符串，这会导致角色名称无效。如果你的Role是枚举，建议改成这样：

// 假设user.getRoles()是List<Role>或Set<Role>
List<String> roleNames = user.getRoles().stream()
    .map(Role::name) // 或者role.getRoleName()，根据你的Role类字段调整
    .collect(Collectors.toList());
return org.springframework.security.core.userdetails.User.builder()
    .username(user.getUserName())
    .password(user.getPassword())
    .roles(roleNames.toArray(new String[0]))
    .build();

这个不影响当前的/dashboard拦截问题，但提前修改能避免后续的权限异常。

内容来源于stack exchange