Spring Security中antMatcher配合formLogin不生效问题咨询

首先明确两个配置项的作用边界：

• HttpSecurity#antMatcher(String pattern)：过滤器链级匹配规则，限定当前整条SecurityFilterChain的生效范围，只有请求路径匹配该规则时才会进入这条链的所有逻辑，不匹配的请求直接跳过当前链。
• ExpressionUrlAuthorizationConfigurer#antMatchers(String... patterns)：权限规则级匹配规则，仅在当前过滤器链生效的前提下，为匹配到的路径分配对应的访问权限要求，你提问中提到的andMatchers属于笔误，实际就是该配置项。

你当前的配置存在两个典型问题：

1. 过滤器链匹配范围过窄：http.antMatcher("/admin")是精确路径匹配，只有请求/admin才会进入这条链，/admin/、/admin/index等路径都会直接跳过该链，自然不会触发权限校验和登录跳转。
2. 登录相关路径未纳入过滤器链范围：formLogin默认的登录页路径是/login，登录提交路径是/login，这两个路径都不匹配/admin规则，不会走你配置的登录逻辑，导致权限校验失败后无法正确跳转登录页。

如果需要配置两条独立的过滤器链（比如一条管后台管理端、一条管普通用户端），Spring Security 5.4+ 推荐使用SecurityFilterChain Bean的方式实现，参考配置如下：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.core.annotation.Order;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class MultiSecurityChainConfig {

    // 第一条链：处理所有/admin开头的后台请求，优先级更高
    @Bean
    @Order(1)
    public SecurityFilterChain adminSecurityFilterChain(HttpSecurity http) throws Exception {
        http
                // 限定当前链仅处理/admin开头的所有路径
                .antMatcher("/admin/**")
                .authorizeRequests()
                    .anyRequest().hasRole("ADMIN")
                    .and()
                .formLogin()
                    // 登录相关路径必须匹配/admin前缀，才能进入当前链处理
                    .loginPage("/admin/login")
                    .loginProcessingUrl("/admin/doLogin")
                    // 登录相关路径必须放行，避免重定向循环
                    .permitAll()
                    .and()
                .logout()
                    .logoutUrl("/admin/logout")
                    .permitAll();
        return http.build();
    }

    // 第二条链：处理所有其他请求，默认优先级最低
    @Bean
    public SecurityFilterChain commonSecurityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                    .antMatchers("/public/**", "/").permitAll()
                    .anyRequest().hasRole("USER")
                    .and()
                .formLogin()
                    .loginPage("/user/login")
                    .permitAll();
        return http.build();
    }

    // 测试用内存用户配置，生产环境替换为自定义用户查询逻辑
    @Bean
    public UserDetailsService userDetailsService() {
        UserDetails adminUser = User.withDefaultPasswordEncoder()
                .username("admin")
                .password("test123")
                .roles("ADMIN")
                .build();
        UserDetails commonUser = User.withDefaultPasswordEncoder()
                .username("user")
                .password("test123")
                .roles("USER")
                .build();
        return new InMemoryUserDetailsManager(adminUser, commonUser);
    }
}

• 多过滤器链必须通过@Order指定优先级，数值越小优先级越高，高优先级的链会先匹配请求。
• 每条链的登录、退出等操作路径必须匹配当前链的antMatcher规则，否则相关请求不会进入当前链处理，导致配置失效。
• 如果使用的是Spring Security 5.4之前的版本，需要编写两个继承WebSecurityConfigurerAdapter的配置类，分别加@Order注解，每个类的configure(HttpSecurity http)方法开头加上对应的antMatcher规则即可，逻辑完全一致。

内容的提问来源于stack exchange，提问作者user2557930