Spring Security配置antMatchers规则不生效，所有接口均返回200状态码

你当前的表现（仅未携带认证时返回401，携带认证后无论角色所有接口都返回200），本质是配置的权限拦截规则未生效，仅触发了全局的身份校验逻辑，可按以下顺序排查：

1. 验证Security配置类是否被Spring容器加载 #

这是概率最高的原因：如果你的SecurityConfiguration类不在Spring Boot启动类的扫描路径下（即不在启动类所在包及其子包中），Spring不会加载该配置，所有权限规则都不会生效。

• 验证方法：在configure(HttpSecurity http)方法首行加断点，启动项目后发送请求，查看断点是否被触发。
• 解决方法：
  • 将SecurityConfiguration移动到启动类所在包或其子包下
  • 或在启动类上添加@ComponentScan(basePackages = "你的配置类所在包路径")主动扫描
  • 或给SecurityConfiguration类添加@Order(1)注解，强制提升配置优先级

2. 验证路径匹配规则是否正确 #

如果antMatchers配置的路径和实际请求的路径不匹配，规则会直接跳过，进入后面的anyRequest().authenticated()逻辑，只要身份认证通过就放行：

• 常见匹配失败场景：
  • 配置了server.servlet.context-path项目前缀，antMatchers中没有加对应前缀
  • 实际请求路径带尾斜杠/api/addresses/，但antMatchers写的是/api/addresses（精确匹配下不相等）
  • 未指定请求方法，接口请求方法和隐式匹配的方法不一致
• 验证方法：临时将anyRequest().authenticated()改为anyRequest().denyAll()，用admin身份请求/api/addresses，如果返回403则说明你的antMatchers规则未匹配到路径。
• 解决方法：
  • 用mvcMatchers替代antMatchers，适配Spring MVC的路径匹配逻辑，自动兼容尾斜杠、后缀等场景：mvcMatchers("/api/addresses").hasAuthority("ROLE_ADMIN")
  • 显式指定请求方法：mvcMatchers(HttpMethod.GET, "/api/addresses").hasAuthority("ROLE_ADMIN")
  • 存在context-path时路径配置补全前缀

3. 排查是否存在多份Security配置 #

如果项目中存在其他继承了WebSecurityConfigurerAdapter且标注了@EnableWebSecurity的配置类，且优先级高于你当前的配置，会覆盖你写的权限规则。

• 验证方法：全局搜索项目中所有带@EnableWebSecurity的类，确认是否存在多份配置。
• 解决方法：保留一份核心权限配置，或通过@Order注解明确多配置的优先级顺序。

4. 验证用户权限是否正确写入 #

可以新增一个测试接口，打印当前登录用户的权限列表，确认user用户的权限是否符合预期：

@GetMapping("/test/auth")
public Collection<? extends GrantedAuthority> getCurrentAuth() {
    return SecurityContextHolder.getContext().getAuthentication().getAuthorities();
}

用user身份登录调用该接口，确认返回的权限列表中只有ROLE_USER，没有误加ROLE_ADMIN。

内容的提问来源于stack exchange，提问作者invzbl3