Spring Boot Security配置问题：Actuator端点未始终放行

你的问题主要出在两个地方：Spring Security规则的配置逻辑，以及一个小的路径匹配疏漏。

核心问题：授权规则的配置方式错误 #

你现在的代码分开调用了两次http.authorizeRequests()，这会打乱Spring Security的规则匹配顺序。Spring Security的授权规则是按定义顺序匹配，且第一个匹配的规则生效，但分开调用authorizeRequests()会创建独立的规则集合——后续添加的/**规则会覆盖（或者说优先匹配）你之前设置的permitAll规则，毕竟/**能匹配所有请求，包括你想放行的Actuator端点。

另外，你写的"actuator/health"前面少了斜杠/，这个路径是匹配不到实际的/actuator/health请求的，得修正为"/actuator/health"。

修正后的配置代码 #

下面是调整后的正确写法，用链式调用保证规则顺序，同时修复路径问题：

@Override
protected void configure(HttpSecurity http) throws Exception {
    // 先配置需要放行的端点，放在最前面保证优先匹配
    var authConfig = http.authorizeRequests()
            .antMatchers("/health", "/actuator", "/actuator/health").permitAll();

    if (authenticationRequired) {
        // 在同一个规则链上添加剩余请求的认证要求
        authConfig.anyRequest().authenticated() // 用anyRequest()比/**更规范，明确匹配所有剩余请求
                .and().httpBasic();
    }
}

如果你的Actuator还有其他需要放行的端点，比如/actuator/info，可以直接简化成antMatchers("/health", "/actuator/**").permitAll()，一次性放行所有Actuator路径，不用逐个列举。

为什么这样能解决问题 #

把所有授权规则放在同一个authorizeRequests()的链式调用里，Spring Security会严格按照你写的顺序匹配请求：

1. 先检查请求是否是/health、/actuator或/actuator/health，如果是直接放行；
2. 当authenticationRequired为true时，剩下的所有请求都会触发认证规则，要求HTTP Basic认证。

这样就实现了你想要的效果：始终暴露Actuator端点，仅在需要认证时对其他请求（包括WebSocket连接）应用认证规则。

内容的提问来源于stack exchange，提问作者Biscuit128