Spring Security未生效：直接输入页面URL可绕过登录问题求助

嘿，我一眼就瞅出你这问题的症结了——没有强制所有请求必须经过认证，这才导致直接输目标URL就能绕开登录。先看看你贴的这段配置：

@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.antMatchers("/").hasAnyRole("Administrator" , "Member")
//.anyRequest().authenticated()
.and()
.formLogin().permitAll()
.loginPage("/login").permitAll()
.defaultSuccessUrl("/dashboard")
.failureUrl("/login?error")
.successHandler(authenticationSucces...

你把.anyRequest().authenticated()这行给注释掉了！这就意味着，除了根路径/之外，其他所有请求都没被要求必须认证——用户直接访问/dashboard或者其他页面时，Spring Security根本不会拦，自然就跳过登录了。

修正后的配置代码 #

把注释的那行恢复，还要调整下规则顺序（匹配规则是从上到下优先级递减的，anyRequest最好放在最后）：

@Override 
protected void configure(HttpSecurity http) throws Exception { 
    http.authorizeRequests()
        // 先放开登录相关的请求，避免死循环
        .antMatchers("/login", "/login?error").permitAll()
        // 根路径需要指定角色才能访问
        .antMatchers("/").hasAnyRole("Administrator", "Member")
        // 关键！所有其他请求必须经过认证
        .anyRequest().authenticated()
        .and()
        .formLogin()
        .loginPage("/login")
        .defaultSuccessUrl("/dashboard")
        .failureUrl("/login?error")
        .successHandler(authenticationSuccessHandler) // 确保这里注入了正确的成功处理器
        .and()
        // 调试阶段如果登录表单没带csrf token，可以临时关闭，上线记得开启
        // .csrf().disable()
}

额外要检查的几个点 #

• 登录表单提交路径：确保你的登录表单action是/login（或者你配置的loginProcessingUrl），而且请求方法是POST，不然Spring Security的认证过滤器不会处理登录请求。
• 角色前缀问题：如果你的UserDetails返回的角色是ROLE_Administrator这种带前缀的，那hasAnyRole("Administrator")是对的；要是没前缀，得换成hasAnyAuthority("Administrator")。
• 自定义过滤器干扰：检查项目里有没有自定义的过滤器，会不会绕过了Spring Security的认证流程。

内容的提问来源于stack exchange，提问作者user9702608