启用Spring Security后无法移除Spring Boot默认登录页，求解决方案

你的CustomSecurityConfiguration类就是问题的核心！

当你给类加上@EnableWebSecurity注解时，这个注解会直接覆盖Spring Boot的Security自动配置逻辑。但你的类里没有任何自定义的安全规则，Spring Security就会启用它的默认行为：强制所有请求都需要认证，所以默认登录页会一直弹出来——这也是为什么你之前设置security.basic.enabled=false、排除自动配置类都没效果的原因，因为这些配置都被@EnableWebSecurity的优先级覆盖了。

下面分两种场景给你解决方案：

场景一：完全关闭Spring Security #

如果你根本不需要任何安全校验，只想彻底关掉Spring Security：

1. 删除你的CustomSecurityConfiguration类
2. 选择以下两种配置方式之一：
   • 代码排除自动配置：在启动类里排除相关自动配置类（注意要连用户详情的自动配置一起排除）

     @SpringBootApplication(scanBasePackages={"com"}, exclude = {
         SecurityAutoConfiguration.class,
         UserDetailsServiceAutoConfiguration.class
     })
     public class YourApplication {
         public static void main(String[] args) {
             SpringApplication.run(YourApplication.class, args);
         }
     }
     

   • 配置文件关闭：在application.properties或application.yml中添加（Spring Boot 2.x及以上版本用这个，旧的security.basic.enabled=false已经失效）

     spring.security.enabled=false
     

场景二：需要自定义Security规则 #

如果你确实需要自定义安全逻辑，保留CustomSecurityConfiguration类，那必须在类里明确配置安全规则，否则默认的表单登录会一直生效：

• Spring Boot 2.x版本（使用WebSecurityConfigurerAdapter）：

  @Configuration
  @EnableWebSecurity
  public class CustomSecurityConfiguration extends WebSecurityConfigurerAdapter {
      @Override
      protected void configure(HttpSecurity http) throws Exception {
          // 示例：允许所有请求匿名访问，关闭CSRF保护（根据你的业务需求调整）
          http.authorizeRequests()
              .anyRequest().permitAll()
              .and()
              .csrf().disable();
      }
  }
  

• Spring Boot 3.x版本（WebSecurityConfigurerAdapter已弃用，使用SecurityFilterChain）：

  @Configuration
  @EnableWebSecurity
  public class CustomSecurityConfiguration {
      @Bean
      public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
          http.authorizeHttpRequests(auth -> auth
                  .anyRequest().permitAll()
              )
              .csrf(csrf -> csrf.disable());
          return http.build();
      }
  }
  

简单总结：只要用了@EnableWebSecurity，所有安全规则都由你的配置类说了算，Spring Boot的自动配置和旧的security.basic配置项都会失效，必须手动定义规则。

内容的提问来源于stack exchange，提问作者appzone_oto