Thymeleaf+Spring Boot错误页面sec:authorize标签失效求助

嘿，这个问题我之前帮好几个开发者解决过——本质上是因为默认的容器级错误页面（比如403、404）绕过了Spring Security的过滤器链，导致Thymeleaf的Spring Security方言无法获取到用户的认证上下文，所以sec:authorize="isAuthenticated()"和sec:authorize="isAnonymous()"才会都返回false。

下面给你一步步的解决步骤：

1. 让Spring Boot接管错误页面处理 #

默认情况下，Tomcat这类容器会直接处理错误页面，完全不经过Spring的上下文。我们需要修改配置，让Spring MVC来接管错误请求：

在application.properties（或application.yml）中添加以下配置：

# 关闭容器自带的白标错误页面
server.error.whitelabel.enabled=false
# 当没有找到请求处理器时抛出异常，让Spring MVC捕获
spring.mvc.throw-exception-if-no-handler-found=true
# 禁止Spring自动映射静态资源（避免静态资源请求触发404被拦截）
spring.web.resources.add-mappings=false

2. 创建自定义错误控制器 #

编写一个自定义的错误控制器，确保所有错误请求都经过Spring的上下文（包括Security上下文）：

import jakarta.servlet.RequestDispatcher;
import jakarta.servlet.http.HttpServletRequest;
import org.springframework.boot.web.servlet.error.ErrorController;
import org.springframework.stereotype.Controller;
import org.springframework.ui.Model;
import org.springframework.web.bind.annotation.RequestMapping;

@Controller
public class CustomErrorController implements ErrorController {

    @RequestMapping("/error")
    public String handleError(HttpServletRequest request, Model model) {
        // 获取错误状态码，方便在页面展示
        Integer statusCode = (Integer) request.getAttribute(RequestDispatcher.ERROR_STATUS_CODE);
        model.addAttribute("statusCode", statusCode);
        return "error"; // 这里替换成你的Thymeleaf错误页面模板名称
    }

    @Override
    public String getErrorPath() {
        return "/error";
    }
}

如果是Spring Boot 2.3+版本，也可以用@ControllerAdvice结合@ExceptionHandler来处理特定异常，效果是一样的。

3. 确保Thymeleaf Spring Security依赖和方言配置正确 #

先检查你的依赖是否正确引入：

• Maven项目在pom.xml中添加：

  <dependency>
      <groupId>org.thymeleaf.extras</groupId>
      <artifactId>thymeleaf-extras-springsecurity6</artifactId> <!-- 对应Spring Boot 3.x/Security 6.x，低版本换对应编号 -->
  </dependency>
  

• Gradle项目在build.gradle中添加：

  implementation 'org.thymeleaf.extras:thymeleaf-extras-springsecurity6'
  

然后在你的错误页面模板的<html>标签中声明Spring Security方言：

<html xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/extras/spring-security">

4. 配置Spring Security允许访问错误页面 #

最后，要确保错误页面的路径（比如上面的/error）被Spring Security允许所有用户访问，包括未认证的用户：

import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            // 其他你的Security配置（比如登录、权限规则等）
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/error").permitAll() // 允许所有用户访问错误页面
                // 其他请求的权限规则...
            );
        return http.build();
    }
}

做完这些配置后，错误请求就会完整经过Spring Security的过滤器链，Thymeleaf的sec:authorize标签就能正确获取到用户的认证状态，isAuthenticated()和isAnonymous()也会正常返回对应的布尔值了。

内容的提问来源于stack exchange，提问作者Roman