Spring MVC集成Spring Security出现HTTP 405 POST请求不支持问题

我来帮你分析下这个问题，其实这里有两个关键的误区和配置问题需要理清：

首先要明确两个概念的区别 #

你提到的authentication-failure-url是用来处理登录验证失败的场景（比如用户名密码输错），而已登录但没有对应操作权限的情况属于「权限拒绝（Access Denied）」，这个场景不会触发authentication-failure-url的跳转，这是你首先要纠正的认知~

为什么会出现405错误？ #

出现这个错误的核心原因是：当你用无权限账号登录后点击提交，Spring Security没有正确拦截这个POST请求的权限检查，导致请求直接走到了Spring MVC层，但你的控制器里没有配置对应URL的POST方法映射，所以抛出了「POST方法不支持」的405错误。

具体解决步骤 #

1. 修正Security配置，添加权限拒绝的处理 #

在你的Spring Security配置类里，添加权限不足时的跳转配置，同时确保对提交URL的POST方法设置正确的权限规则：

// 如果你用的是传统的WebSecurityConfigurerAdapter
@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        // 配置权限规则
        .authorizeRequests()
            // 明确指定提交接口的POST方法需要对应权限，比如"SUBMIT_PERMISSION"
            .antMatchers(HttpMethod.POST, "/你的提交接口URL").hasAuthority("SUBMIT_PERMISSION")
            // 其他接口的权限配置...
            .anyRequest().authenticated()
            .and()
        // 登录相关配置
        .formLogin()
            .loginPage("/login.jsp")
            .authenticationFailureUrl("/loginFailure.web") // 这个仅用于登录失败
            .permitAll()
            .and()
        // 配置权限不足的处理
        .exceptionHandling()
            .accessDeniedPage("/loginFailure.web"); // 权限不足时跳转到这个页面
}

如果你用的是Spring Security 5.7+的SecurityFilterChain写法，逻辑是一样的，只是语法略有不同：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers(HttpMethod.POST, "/你的提交接口URL").hasAuthority("SUBMIT_PERMISSION")
            .anyRequest().authenticated()
        )
        .formLogin(form -> form
            .loginPage("/login.jsp")
            .authenticationFailureUrl("/loginFailure.web")
            .permitAll()
        )
        .exceptionHandling(ex -> ex
            .accessDeniedPage("/loginFailure.web")
        );
    return http.build();
}

2. 确保控制器存在POST方法的映射 #

虽然正确的流程应该是Spring Security先拦截无权限请求，但为了避免意外情况，还是要确认你的控制器里有对应URL的POST处理方法：

@PostMapping("/你的提交接口URL")
public String handleSubmit() {
    // 你的提交逻辑
    return "success-page";
}

3. 检查权限规则的顺序 #

Spring Security的权限规则是从上到下匹配的，如果你之前有更宽泛的规则（比如antMatchers("/你的提交接口URL").permitAll()）放在了具体的POST权限规则前面，就会导致具体规则不生效。一定要把更具体的规则（比如指定HTTP方法的）放在前面。

4. 排查自定义过滤器/拦截器的干扰 #

如果你有自定义的过滤器或拦截器，要确保它们的执行顺序在Spring Security过滤器之后，不然可能会提前拦截请求，导致Security的权限检查没生效。

按照这些步骤调整后，应该就能解决问题：已登录但无权限的用户点击提交时，会跳转到你配置的权限不足页面，而不是抛出405错误。

内容的提问来源于stack exchange，提问作者Noorus Khan