Spring Boot中如何允许访问index.html但禁止访问layout下的CSS文件？

没问题，你的需求完全可行！咱们先拆解下之前配置里的问题，再给出正确的实现方案。

问题根源 #

你之前在WebSecurity里配置了web.ignoring().antMatchers("/layout/**")，这会让Spring Security完全跳过对这些路径的拦截校验——不管你在HttpSecurity里写了什么规则，这些路径都不会被处理，所以/layout/style.css依然能被访问到，这就是核心问题。

正确配置方案 #

我们需要让Spring Security接管所有资源的拦截逻辑，明确允许index.html的访问，同时拒绝layout目录下的所有请求。

1. 调整Spring Security配置

修改你的安全配置类，移除WebSecurity里的忽略规则，同时在HttpSecurity里明确权限规则：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            // 允许根路径下所有.html文件的访问（这里就是你的index.html）
            .antMatchers("/*.html").permitAll()
            // 拒绝访问layout目录下的所有资源
            .antMatchers("/layout/**").denyAll()
            // 其他请求可以根据你的需求调整，比如需要认证或者直接拒绝
            .anyRequest().denyAll();
}

// 移除对layout路径的忽略，让Spring Security处理这些请求
@Override
public void configure(WebSecurity web) throws Exception {
    // 如果有完全不需要拦截的静态资源（比如公共js），可以在这里添加，但根据你的需求不需要
    super.configure(web);
}

2. 保留现有静态资源配置

你的StaticResourceConfig配置是正确的，它已经把所有请求映射到外部的site目录，不需要修改：

@Configuration
public class StaticResourceConfig extends WebMvcConfigurerAdapter {
    @Override
    public void addResourceHandlers(ResourceHandlerRegistry registry) {
        registry.addResourceHandler("/**").addResourceLocations("file:mylocation/site/");
    }

    @Override
    public void addViewControllers(ViewControllerRegistry registry) {
        registry.addViewController("/").setViewName("redirect:/index.html");
    }
}

验证效果 #

• 访问localhost/index.html：正常加载页面
• 访问localhost/layout/style.css：会收到403 Forbidden的响应，无法查看CSS文件

额外说明 #

如果之后需要允许其他特定静态资源的访问，只需要在HttpSecurity的antMatchers里添加对应的规则即可，比如：

.antMatchers("/*.html", "/public/js/**").permitAll()

内容的提问来源于stack exchange，提问作者George Z.