Spring Boot Security 意外要求授权问题求助

我之前也碰到过一模一样的问题，明明配置了permitAll()但特定路径还是被拦截要求认证，咱们一步步来排查和解决：

首先检查最容易忽略的配置类注解 #

你的配置类有没有加上@Configuration和@EnableWebSecurity？如果没加这两个注解，Spring根本不会加载你的Security配置，自然会用默认的拦截规则（默认所有请求都需要认证）。比如正确的配置类结构应该是：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    // 你的configure方法写在这里
}

检查路径匹配的准确性 #

这里有几个容易踩的坑：

• 大小写问题：如果你的实际请求是/SignUp（首字母大写），但配置的是/signUp，Spring Security的路径匹配是大小写敏感的，会导致匹配失败。
• 上下文路径干扰：如果你的项目设置了server.servlet.context-path（比如/myapp），那么实际访问根路径是/myapp/，signUp是/myapp/signUp，这时候你需要把配置改成：

  antMatchers("/", "/signUp", "/myapp/**").permitAll()
  

• 静态资源关联：如果根路径/对应的是index.html静态页面，可能需要把静态资源路径也加入permitAll，比如：

  antMatchers("/", "/signUp", "/index.html", "/static/**").permitAll()
  

排查是否有其他Security配置冲突 #

如果项目里存在多个Security配置类（比如其他类也继承了WebSecurityConfigurerAdapter或者定义了SecurityFilterChain Bean），会根据@Order注解的优先级来执行，优先级高的配置会覆盖你的规则。你可以检查项目里有没有其他Security相关的配置类，或者给你的配置类设置更高的优先级：

@Configuration
@EnableWebSecurity
@Order(1) // 数字越小优先级越高
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    // ...
}

尝试使用新版本的配置方式（推荐） #

从Spring Security 5.7开始，WebSecurityConfigurerAdapter已经被弃用了，官方推荐使用SecurityFilterChain Bean的方式配置，这种方式更清晰也不容易出问题，你可以试试改成下面的代码：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.disable())
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/", "/signUp").permitAll()
                .anyRequest().authenticated()
            )
            .httpBasic(Customizer.withDefaults());
        return http.build();
    }
}

开启调试日志排查细节 #

如果上面的方法都没解决问题，你可以开启Spring Security的调试日志，看看具体的请求拦截过程，找到到底是哪个规则拦截了你的请求。在application.properties里添加：

logging.level.org.springframework.security=DEBUG

启动项目后访问/或者/signUp，查看控制台日志，你会看到类似Checking match of request : '/' against '/signUp'的日志，通过这些日志就能定位到匹配失败的原因。

内容的提问来源于stack exchange，提问作者Basau Lohan