Spring Security配置permitAll()放行多URL不生效问题

架构老林

2026-8-29

问题根因

配置不生效是三个问题叠加导致的：

静态资源路径未放行：Thymeleaf页面依赖的/webjars/**路径下的Bootstrap、jQuery等静态资源没有加入白名单。页面加载时静态资源请求被拦截返回401，前端渲染异常，最终仅能显示登录界面，和页面路由本身是否放行无关。
自定义JWT过滤器逻辑疏漏：jwtTokenFilter被注册到UsernamePasswordAuthenticationFilter之前执行，但过滤器内部没有对白名单路径做跳过处理。permitAll()仅配置了权限规则，不会阻止自定义过滤器执行，过滤器对所有请求强制校验Token，校验失败直接返回401，后续的权限判断逻辑根本不会触发。
权限规则重复配置：HttpSecurity中多次调用authorizeRequests()，在部分Spring Security版本中，重复声明的权限匹配规则会出现优先级异常，前置的permitAll()规则会被后续的anyRequest().authenticated()覆盖，导致白名单失效。
额外注意：web.ignoring()会直接将路径从整个Security过滤器链中移除，仅适合配置静态资源，不要将业务路由（如/register//home）加入该配置，否则这些路径无法获取Security上下文，后续需要获取登录用户信息时会出现空指针。

修复方案

重构HttpSecurity配置，合并重复的authorizeRequests()声明，补全所有需要放行的路径（包括静态资源、视图控制器中配置的所有匿名可访问路由）：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable()
        .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        .and()
        .authorizeRequests()
        // 放行匿名可访问的页面路由
        .antMatchers("/login/**", "/register", "/home", "/process_register").permitAll()
        // 放行静态资源路径
        .antMatchers("/css/**", "/js/**", "/images/**", "/webjars/**").permitAll()
        // 其余所有请求必须认证
        .anyRequest().authenticated()
        .and()
        .httpBasic();

    http.exceptionHandling()
        .authenticationEntryPoint((request, response, ex) -> 
            response.sendError(HttpServletResponse.SC_UNAUTHORIZED, ex.getMessage())
        );

    http.addFilterBefore(jwtTokenFilter, UsernamePasswordAuthenticationFilter.class);
}

修改JWT过滤器逻辑，在过滤器执行最前端增加白名单判断，对匿名可访问路径直接跳过Token校验，放行到下一个过滤器：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    String requestUri = request.getRequestURI();
    AntPathMatcher pathMatcher = new AntPathMatcher();
    // 白名单路径直接放行，不做JWT校验
    if (pathMatcher.match("/login/**", requestUri)
            || pathMatcher.match("/register", requestUri)
            || pathMatcher.match("/home", requestUri)
            || pathMatcher.match("/process_register", requestUri)
            || pathMatcher.match("/webjars/**", requestUri)
            || pathMatcher.match("/css/**", requestUri)
            || pathMatcher.match("/js/**", requestUri)) {
        filterChain.doFilter(request, response);
        return;
    }

    // 保留原有JWT解析、用户信息校验、写入Security上下文的业务逻辑
    // ... 你的原有JWT校验逻辑
}

（可选优化）如果希望静态资源完全跳过Security过滤器链降低开销，可以将静态资源路径移到WebSecurity配置中，不要在该配置中加入业务路由：

@Override
public void configure(WebSecurity web) throws Exception {
    web.ignoring().antMatchers("/css/**", "/js/**", "/images/**", "/webjars/**");
}

内容的提问来源于stack exchange，提问作者renad sahal