Spring Security配置：允许未认证用户访问样式表资源

嘿，这个问题我太熟了！要让未登录用户也能正常访问样式表、JS、图片这类静态资源，你只需要在Spring Security的配置里做一点点调整就行。我给你两种常用的方案，按需选择：

方案一：让静态资源完全跳过Security过滤器链（推荐） #

这种方法性能更好，因为指定路径的资源不会经过Spring Security的任何过滤逻辑，直接就能访问。你只需要在WebSecurityConfig类里重写configure(WebSecurity web)方法：

@Override
public void configure(WebSecurity web) throws Exception {
    // 替换成你实际的静态资源路径，比如/css/**、/js/**、/images/**
    web.ignoring().antMatchers("/css/**", "/js/**", "/images/**", "/fonts/**");
}

方案二：在HttpSecurity中放行静态资源 #

如果你的静态资源需要经过某些Security过滤器（比如CSRF保护），可以用这种方式，在configure(HttpSecurity http)方法里给静态资源路径添加permitAll()规则：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            // 一定要把放行规则放在anyRequest()前面！Security是按顺序匹配规则的
            .antMatchers("/css/**", "/js/**", "/images/**").permitAll()
            // 其他所有请求都需要认证
            .anyRequest().authenticated()
        // 下面是你的其他配置，比如表单登录、注销等
        .and()
            .formLogin()
            .loginPage("/login") // 如果有自定义登录页，记得也要放行它
            .permitAll()
        .and()
            .logout()
            .permitAll();
}

注意事项 #

• 路径要对应实际位置：如果你的样式表放在src/main/resources/static/css/下，访问路径就是/css/**，Spring Boot会自动把static、public、resources这些目录下的静态资源映射到根路径。
• 规则顺序很重要：放行静态资源的规则必须放在anyRequest().authenticated()前面，否则会被“所有请求都需要认证”的规则覆盖。

给你补全后的完整WebSecurityConfig.java示例，你可以参考：

package com.security;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    // 你的认证配置（比如内存认证、数据库认证）
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user").password("{noop}password").roles("USER");
    }

    // 方案一的实现
    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers("/css/**", "/js/**", "/images/**");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                // 如果用方案二，就打开下面这行注释，注释掉WebSecurity的configure方法
                // .antMatchers("/css/**").permitAll()
                .anyRequest().authenticated()
            .and()
                .formLogin()
                .loginPage("/login")
                .permitAll()
            .and()
                .logout()
                .permitAll();
    }
}

内容的提问来源于stack exchange，提问作者Jonathan Small