Spring Boot WebSecurityConfig放行H2控制台仍跳登录页问题排查

核心触发原因：自定义安全配置类未被Spring上下文加载 #

这是访问localhost:9000/h2直接跳转默认登录页的最直接原因。
如果WebSecurityConfig类的所在包不在Spring Boot主启动类的默认扫描路径范围内（比如主启动类位于com.deliverynote包，而配置类被放在没有子包继承关系的其他路径下），类上的@EnableWebSecurity注解就不会被Spring识别生效。此时Spring Boot会自动加载内置的默认安全配置：拦截所有请求、生成随机登录密码、展示默认登录页，和你观察到的“自定义配置完全不生效、访问任意路径都跳登录”的现象完全匹配。

验证方式：启动项目时查看控制台日志，如果找不到你在WebSecurityConfig里定义的Bean（比如BCryptPasswordEncoder、自定义的AuthTokenFilter）的初始化输出，即可确认是扫描未生效的问题。
修复方式：将WebSecurityConfig移到主启动类所在包的子目录下，或在主启动类上显式添加@ComponentScan指定扫描到配置类的所在路径。

现有安全配置本身存在逻辑矛盾与语法错误 #

即便配置类被正常扫描到，你写的安全规则本身也存在问题，根本达不到预期效果：

• 你在configure(WebSecurity web)方法里写了web.ignoring().antMatchers("/**")，这个配置的作用是将所有路径完全绕过Spring Security的整个过滤链，按照这个规则本来不会有任何登录跳转；但你同时在HttpSecurity配置里写了.anyRequest().authenticated()，两端规则完全对冲。
• HttpSecurity的链式调用逻辑错位：你把/api/**的放行规则写在了sessionManagement()配置节点后面，没有放在authorizeRequests()的配置域下。Spring Security的链式配置中，sessionManagement()返回的是会话管理专属配置器，本身没有antMatchers方法，这段放行规则是完全无效的。

修正后的HttpSecurity配置示例：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .cors().and().csrf().disable()
        // 关闭H2控制台的iframe嵌入限制
        .headers().frameOptions().disable()
        .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        .and()
        .authorizeRequests()
        .antMatchers(
            "/h2/**",
            "/api/**",
            "/actuator/**",
            "/v2/api-docs",
            "/swagger-resources/**",
            "/swagger-ui/**",
            "/webjars/**"
        ).permitAll()
        .anyRequest().authenticated();
}

注意：删除configure(WebSecurity web)方法里的web.ignoring().antMatchers("/**")配置，这个规则会让所有权限控制完全失效，完全没有必要添加。

其他配置项的结构错误 #

• YAML配置结构缺失顶级根节点：你贴出的配置内容里没有写spring:顶级节点，所有本该挂在Spring配置下的项（应用名、数据源、JPA配置、H2控制台开关与访问路径）现在都是独立的顶级配置项，Spring Boot根本不会识别这些内容，等于H2控制台的开启设置完全没有生效。需要把这些配置全部缩进调整到spring:节点下才能被正确读取。
• 检查是否存在多个安全配置类：如果项目里同时存在多个WebSecurityConfigurerAdapter的实现类，没有通过@Order注解指定优先级，就会出现自定义配置被Spring内置默认配置覆盖的问题。

内容的提问来源于stack exchange，提问作者Kyra