Spring Boot HttpSecurity正则匹配器不符合预期问题求助

我之前配置Spring Security时也踩过类似的坑，你的问题核心在于Spring Security的路径匹配器默认只匹配请求URI（不包含查询参数），所以你写的正则里包含?action=create这部分根本不会被匹配到——因为查询参数是单独的请求属性，不在requestURI范围内。

给你几个可行的解决方案，按推荐程度排序：

方案一：用Lambda表达式匹配路径+参数（最直观） #

这种方式直接在requestMatchers里同时判断请求方法、路径格式和查询参数，逻辑清晰不容易出错：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                // 精准匹配：POST方法、/users/{username}（用户名不含/）、action=create
                .requestMatchers(r -> 
                    HttpMethod.POST.equals(r.getMethod())
                    && r.getRequestURI().matches("^/users/[^/]+$")
                    && "create".equals(r.getParameter("action"))
                )
                .permitAll()
                // 其他所有请求必须认证
                .anyRequest().authenticated()
            )
            // 纯REST接口建议关闭CSRF保护（视你的业务场景调整）
            .csrf(csrf -> csrf.disable());

        return http.build();
    }
}

方案二：拆分路径匹配与参数检查 #

如果觉得Lambda不够直观，可以拆分成两步：先匹配路径，再单独校验参数：

.authorizeHttpRequests(auth -> auth
    // 先匹配POST /users/*路径
    .requestMatchers(HttpMethod.POST, "/users/*")
    // 自定义访问规则：检查action参数是否为create
    .access((authentication, context) -> {
        String action = context.getRequest().getParameter("action");
        return new AuthorizationDecision("create".equals(action));
    })
    .permitAll()
    .anyRequest().authenticated()
)

方案三：保留正则匹配路径（不推荐） #

如果你坚持想用正则匹配路径，记得只针对requestURI写正则，然后单独判断参数：

.authorizeHttpRequests(auth -> auth
    // 正则匹配POST /users/{username}（用户名不含/）
    .regexMatchers(HttpMethod.POST, "^/users/[^/]+$")
    // 额外检查action参数
    .requestMatcher(r -> "create".equals(r.getParameter("action")))
    .permitAll()
    .anyRequest().authenticated()
)

补充说明： #

1. 为什么你的原正则不生效？
   Spring Security的regexMatchers和antMatchers都是基于HttpServletRequest.getRequestURI()做匹配的，这个方法返回的是去掉查询参数的路径（比如/users/john），而不是完整的URL（/users/john?action=create），所以你正则里的\?action=create部分永远匹配不到。

2. 用户名规则的保障
   正则^/users/[^/]+$里的[^/]+已经确保用户名不会包含/，符合你的要求。

3. CSRF配置
   如果你的接口是给非浏览器客户端（比如移动端、Postman）调用的REST接口，建议关闭CSRF保护；如果是浏览器表单提交，则需要保留CSRF并配置令牌传递。

内容的提问来源于stack exchange，提问作者Jordan Mackie