Spring Security配置多登录URL问题：/loginMobile返回405错误

嘿，我帮你分析下这个405错误的根源，以及对应的解决方案：

405错误的核心原因 #

405是「请求方法不允许」，在你的场景里大概率是因为Spring Security没正确配置/loginMobile的请求处理规则——默认情况下，Spring Security的表单登录只会监听/login的POST请求，你自定义的/loginMobile如果没指定处理登录提交的路径，POST请求过来就会被判定为不允许的方法。

针对性的代码修改方案 #

基于你的MultiHttpSecurityConfig结构，你需要在移动端专属的Security配置里明确指定登录请求的处理规则，同时配置自定义处理器返回JSON格式的响应（替代默认的HTML跳转）。这里给你调整后的示例代码：

@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class MultiHttpSecurityConfig {

    // 移动端专属Security配置，优先级更高（@Order(1)）
    @Configuration
    @Order(1)
    public static class MobileWebSecurityConfig extends WebSecurityConfigurerAdapter {

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                // 只对移动端登录路径生效
                .antMatcher("/loginMobile/**")
                .authorizeRequests()
                    // 允许所有访问/loginMobile的请求（包括GET和POST）
                    .anyRequest().permitAll()
                    .and()
                // 配置表单登录规则
                .formLogin()
                    // 指定登录页面/接口的URL（移动端如果是直接调用接口，这里和loginProcessingUrl保持一致即可）
                    .loginPage("/loginMobile")
                    // 关键：告诉Spring Security这个URL处理登录POST请求
                    .loginProcessingUrl("/loginMobile")
                    // 自定义登录成功处理器，返回JSON响应
                    .successHandler(mobileLoginSuccessHandler())
                    // 自定义登录失败处理器，返回错误码JSON
                    .failureHandler(mobileLoginFailureHandler())
                    .and()
                // 移动端通常不需要CSRF保护，直接关闭（如果需要的话，记得前端携带CSRF Token）
                .csrf().disable()
                // 配置未登录时的响应，返回JSON而非HTML跳转
                .exceptionHandling()
                    .authenticationEntryPoint(mobileAuthEntryPoint());
        }

        // 自定义登录成功处理器
        private AuthenticationSuccessHandler mobileLoginSuccessHandler() {
            return (request, response, authentication) -> {
                response.setContentType("application/json;charset=UTF-8");
                response.getWriter().write("{\"code\":200,\"msg\":\"登录成功\"}");
            };
        }

        // 自定义登录失败处理器
        private AuthenticationFailureHandler mobileLoginFailureHandler() {
            return (request, response, exception) -> {
                response.setContentType("application/json;charset=UTF-8");
                response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
                String errorMsg = "登录失败";
                if (exception instanceof BadCredentialsException) {
                    errorMsg = "用户名或密码错误";
                }
                response.getWriter().write("{\"code\":401,\"msg\":\"" + errorMsg + "\"}");
            };
        }

        // 自定义未登录入口处理器
        private AuthenticationEntryPoint mobileAuthEntryPoint() {
            return (request, response, authException) -> {
                response.setContentType("application/json;charset=UTF-8");
                response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
                response.getWriter().write("{\"code\":401,\"msg\":\"未登录，请先完成登录\"}");
            };
        }
    }

    // 其他端（比如PC端）的Security配置，优先级较低
    @Configuration
    public static class DefaultWebSecurityConfig extends WebSecurityConfigurerAdapter {
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                .authorizeRequests()
                    .anyRequest().authenticated()
                    .and()
                .formLogin()
                    .permitAll();
        }
    }
}

关键注意点 #

1. loginProcessingUrl的配置：这是解决405错误的核心，必须指定这个参数，让Spring Security知道/loginMobile是处理登录POST请求的路径。
2. 优先级控制：@Order(1)确保移动端的配置先被执行，不会被其他更宽泛的Security规则覆盖。
3. 自定义处理器：通过successHandler、failureHandler和authenticationEntryPoint实现纯JSON响应，完全符合移动端的需求。
4. CSRF配置：移动端接口一般不需要CSRF保护，直接关闭即可；如果有需求，记得在请求头里携带CSRF Token。

内容的提问来源于stack exchange，提问作者al ma