如何排除Spring Security中登录页重定向的特定页面以避免认证错误

你遇到的核心问题是登录页上的pageToRedirect.xhtml链接被Spring Security拦截要求认证，但你需要这个页面允许匿名访问。我来帮你一步步排查解决：

1. 为目标页面添加明确的permitAll规则 #

首先要确认pageToRedirect.xhtml的实际访问路径，然后在Spring Security的授权规则里添加对应的放行配置。

如果该页面直接在根目录下（比如访问路径是/pageToRedirect.xhtml），请在authorizeRequests部分新增这条规则：

and()
    .authorizeRequests()
        .antMatchers(DEFAULT_URL).permitAll()
        .antMatchers("/javax.faces.resource/**").permitAll()
        .antMatchers("/jsfPages/*").permitAll()
        .antMatchers("/errorPages/*").permitAll()
        .antMatchers("/pageToRedirect.xhtml").permitAll() // 新增该行，放行目标页面
        .anyRequest().authenticated()
// 其余配置保持不变

如果pageToRedirect.xhtml是在/jsfPages/目录下，那你现有的/jsfPages/*规则已经覆盖了它，这时候要检查页面路径是否拼写正确，有没有和配置匹配。

2. 为什么web.ignoring()没生效？ #

你之前尝试的web.ignoring().antMatchers("/api/v1/signup")和当前问题无关，就算改成目标页面路径，这种方式也不适合JSF页面：
web.ignoring()是让Spring Security完全跳过对该请求的所有处理，包括认证、授权甚至Spring上下文的关联。而JSF页面通常依赖Spring管理的bean或JSF生命周期，用这个配置会导致页面功能异常。所以更推荐用authorizeRequests下的permitAll()，它只是允许匿名访问，不会跳过必要的过滤器。

3. 确认规则顺序 #

Spring Security的规则是按顺序匹配的，一定要把permitAll规则放在.anyRequest().authenticated()之前，否则这条放行规则永远不会被触发。你现有的配置顺序是正确的，只需把新规则加到其他permitAll规则之后、anyRequest之前即可。

4. 额外排查点 #

• 清空浏览器缓存或用匿名窗口测试，避免会话缓存导致的规则不生效；
• 如果链接是POST请求（你当前是GET），需要确保CSRF令牌正确传递，但GET请求默认不会被Spring Security的CSRF拦截，这个概率很低。

内容的提问来源于stack exchange，提问作者zebercetyum