如何为指定路径单独启用Spring Security会话管理配置

• 存量应用已经上线大量可正常运行的MVC端点，改造要求是不改动原有端点的运行逻辑，仅为新增的指定管理端点配置Spring Security防护能力。
• 现有Spring Security配置代码如下：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.addFilterBefore(authenticationFilter(), UsernamePasswordAuthenticationFilter.class)
        .csrf().requireCsrfProtectionMatcher(new CsrfRequestMatcher())
        .and()
        .sessionManagement().invalidSessionUrl("/invalidSession")
        .and()
        .sessionManagement().maximumSessions(1).expiredUrl("/expiredSession").and()
        .and()
        .authorizeRequests()
            .antMatchers("/user/manage/*").authenticated()
            .anyRequest().permitAll()
            .and()
        .formLogin()
            .loginPage("/user/login").permitAll()
            .defaultSuccessUrl("/user/manage")
        .and()
        .logout().permitAll();
}

• 当前运行异常：所有非目标路径的普通MVC端点被访问时，会被重定向到/invalidSession地址，完全不符合预期。
• 核心目标：
  • 上述整套Spring Security规则（自定义认证过滤器、CSRF防护、会话超时/并发控制、登录授权、登出逻辑）仅作用于/user/manage/*匹配的管理路径
  • 其余所有存量端点完全脱离Spring Security过滤链拦截，保持原有运行逻辑，不受任何安全规则干扰。

• 已知Spring Security可通过重写configure(WebSecurity web)方法配置路径忽略，让指定路径完全跳过整个安全过滤链，当前的尝试写法如下：

@Override
public void configure(WebSecurity web) throws Exception {
    web.ignoring().antMatchers("/cof/manage/*"); //need something like NOT "/cof/manage/*"
}

• 遇到的限制：web.ignoring()默认仅支持正向匹配路径做忽略，不支持反向“非匹配”的规则写法，无法直接实现「除指定目标管理路径外，其余所有路径均禁用安全拦截」的逻辑。
• 当前疑问：是否只能通过手动枚举所有存量MVC端点路径，逐个配置忽略规则才能实现该需求？

内容的提问来源于stack exchange，提问作者jms