Spring Security 5中REST API登录凭证正确仍报错及跳转登录页问题

看起来你碰到了Spring Security配置的典型问题——明明配置了放行规则，但所有请求还是被拦截要求登录。我之前在做Spring Boot 2.x项目时也踩过类似的坑，给你梳理几个大概率的问题点和解决办法：

Spring Security的规则是从上到下匹配，一旦匹配到就不再执行后续规则，这是很多人踩坑的关键点。如果你把anyRequest().authenticated()写在了放行规则前面，那后面的放行配置根本不会生效。

错误示例（放行规则无效）：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .anyRequest().authenticated() // 这条规则先执行，所有请求都要求认证
            .antMatchers("/api/**", "/hal-browser/**").permitAll()
        .and()
        .formLogin();
}

正确示例（先放行不需要认证的路径）：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            // 先配置需要放行的路径：公开API、HAL浏览器、数据库控制台等
            .antMatchers("/api/public/**", "/hal-browser/**", "/h2-console/**").permitAll()
            // 剩下的所有请求都需要认证
            .anyRequest().authenticated()
        .and()
        .formLogin();
}

Spring Boot 2.x开始，Security强制要求所有用户密码必须使用密码编码器，如果你的内存用户密码是明文存储，即使输入正确的凭证也会登录失败，这也是常见的“凭证无效”原因。

错误示例（明文密码导致登录失败）：

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
        .withUser("admin")
        .password("admin123") // 明文密码，无编码器
        .roles("ADMIN");
}

正确配置（使用BCrypt编码器）：

// 先声明密码编码器Bean
@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
        .passwordEncoder(passwordEncoder()) // 指定编码器
        .withUser("admin")
        .password(passwordEncoder().encode("admin123")) // 对明文密码编码后存储
        .roles("ADMIN");
}

如果你的REST API需要处理POST/PUT/DELETE请求，或者HAL浏览器里的操作异常，默认开启的CSRF保护可能会干扰请求。如果是纯后端API服务，可以关闭CSRF：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .csrf().disable() // 关闭CSRF保护（根据业务场景决定是否开启）
        .authorizeRequests()
            .antMatchers("/api/public/**", "/hal-browser/**").permitAll()
            .anyRequest().authenticated()
        .and()
        .formLogin();
}

确保你配置的放行路径和实际访问的路径完全匹配：

• 比如访问http://localhost:8080/api/v1/users，放行规则要写antMatchers("/api/v1/**").permitAll()或者更宽泛的/api/**
• 注意antMatchers区分大小写，路径末尾的斜杠默认是否匹配可以通过配置调整，建议用/**覆盖所有子路径

如果项目里存在多个WebSecurityConfigurerAdapter实现类，可能会导致配置冲突。确保只有一个核心的SecurityConfig，或者用@Order注解明确配置的优先级。

如果按照上面的步骤调整后还是有问题，可以贴出你的完整SecurityConfig代码，这样更容易精准定位问题。

内容的提问来源于stack exchange，提问作者yungbroccoli