Spring Boot/Spring Security如何实现仅根路径带lang参数的请求免认证

API 探路者

2026-10-6

实现方案

Spring Security 自带的 AntPathMatcher 仅匹配请求路径，不支持匹配请求参数，因此你需要通过自定义 RequestMatcher 实现精准匹配规则。

步骤1：定义自定义匹配规则

在你的 Security 配置类中添加匹配器，仅匹配根路径 + 携带lang参数的请求：

import org.springframework.security.web.util.matcher.AndRequestMatcher;
import org.springframework.security.web.util.matcher.AntPathRequestMatcher;
import org.springframework.security.web.util.matcher.RequestParameterRequestMatcher;

// 构造组合匹配规则
private RequestMatcher langRootRequestMatcher() {
    return new AndRequestMatcher(
        // 匹配根路径
        AntPathRequestMatcher.antMatcher("/"),
        // 匹配请求中携带lang参数
        new RequestParameterRequestMatcher("lang")
    );
}

步骤2：修改Security配置

在授权规则中添加自定义匹配器的放行规则，替换你之前加的/*放行配置：

http.authorizeRequests()
    // Restrict Endpoints
    .antMatchers("/login/**").hasAnyRole("admin", "member")
    // Allow Forms
    .antMatchers("/member/**").permitAll()
    // Allow Resources
    .antMatchers("/js/**", "/css/**").permitAll()
    // 仅放行带lang参数的根路径请求
    .requestMatchers(langRootRequestMatcher()).permitAll()
    // Deny All
    .anyRequest().authenticated();

扩展说明

如果需要进一步限制lang参数的可选值（比如仅允许zh/en/de等已支持的语言），可以自定义 RequestMatcher 实现更复杂的校验逻辑：

private RequestMatcher limitedLangRootMatcher() {
    return request -> {
        // 先判断是否是根路径
        if (!"/".equals(request.getServletPath())) {
            return false;
        }
        String lang = request.getParameter("lang");
        // 仅当lang参数为已支持的语言时匹配成功
        return lang != null && List.of("zh", "en", "de").contains(lang);
    };
}