你遇到的问题核心是：Spring Boot Actuator的ManagementWebSecurityAutoConfiguration自动创建了一个匹配所有请求的managementSecurityFilterChain过滤器链，而你自己库中的SecurityFilterChain也匹配所有请求，且设置了最高优先级。Spring Security不允许存在多个全局匹配的过滤器链（会导致其中一个永远无法被触发），因此抛出了UnreachableFilterChainException。

下面给你几个更合理、低风险的解决方法，按推荐程度排序：

方法1：通过配置属性限制Actuator安全过滤器链的匹配路径（最推荐） #

Spring Boot Actuator提供了官方配置属性，可以直接指定其安全过滤器链仅处理Actuator端点路径，和你的自定义过滤器链划分清晰的职责范围。在应用的application.yaml中添加：

management:
  security:
    matcher: "/actuator/**"

配置后，Actuator的过滤器链只会处理/actuator/**开头的请求，你的自定义过滤器链则处理其他所有请求，两者匹配路径不重叠，Spring Security会自动根据请求路径选择对应的过滤器链，完全规避冲突。

方法2：给自定义过滤器链添加SecurityMatcher #

如果你希望自定义过滤器链处理除Actuator端点外的所有请求，可以在你的SecurityConfig中给HttpSecurity添加匹配规则，明确其处理范围：

import org.springframework.security.web.util.matcher.AntPathRequestMatcher;
import org.springframework.security.web.util.matcher.NegatedRequestMatcher;

@Bean
@Order(Ordered.HIGHEST_PRECEDENCE)
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        // 明确只处理非Actuator的请求
        .securityMatcher(new NegatedRequestMatcher(new AntPathRequestMatcher("/actuator/**")))
        .sessionManagement(sessionManagement ->
            sessionManagement.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
        // 保留你原有的其他配置...
        .headers(headersConfigurer -> headersConfigurer.contentTypeOptions(Customizer.withDefaults()));

    return http.build();
}

这种方式通过精准的路径匹配规则，让两个过滤器链各司其职，不会产生冲突。

方法3：移除Actuator的managementSecurityFilterChain Bean #

如果你完全不需要Actuator的安全配置，可以通过BeanFactoryPostProcessor在容器初始化前，仅移除Actuator的安全过滤器链Bean，而不是排除整个自动配置类：

import org.springframework.beans.factory.support.BeanDefinitionRegistry;
import org.springframework.beans.factory.support.BeanDefinitionRegistryPostProcessor;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class ActuatorSecurityFilterRemover {

    @Bean
    public static BeanDefinitionRegistryPostProcessor removeManagementSecurityFilterChain() {
        return registry -> {
            String targetBeanName = "managementSecurityFilterChain";
            if (registry.containsBeanDefinition(targetBeanName)) {
                registry.removeBeanDefinition(targetBeanName);
            }
        };
    }
}

这个处理器会在所有Bean创建前检查并移除Actuator的安全过滤器链定义，确保只有你的自定义过滤器链生效，同时保留Actuator的其他功能。

关于你之前尝试的方法的风险说明 #

你之前用的排除整个自动配置类、开启Bean覆盖的方式虽然能解决问题，但存在潜在隐患：

• 排除SecurityAutoConfiguration和ManagementWebSecurityAutoConfiguration会丢失Spring Boot提供的默认安全防护逻辑，可能引入安全漏洞。
• 开启allow-bean-definition-overriding: true会允许同名Bean覆盖，在复杂项目中容易引发意外的Bean覆盖问题，后期排查难度大。