Spring Boot RESTful API集成Spring Security自动跳转登录页问题

你遇到的跳转登录页问题，核心原因是Spring Security默认启用了表单登录（Form Login）机制，即使你配置了/API/user/**路径允许访问，默认的认证拦截逻辑还是会触发登录页跳转。另外你的Security配置写法也存在一些不规范的地方，导致规则没有正确生效。

问题根源分析 #

1. 表单登录默认启用：Spring Security在没有明确禁用的情况下，会对所有未授权的请求自动跳转到默认登录页，这显然不符合RESTful API的无状态设计需求。
2. CSRF配置写法问题：你分开调用http.csrf().ignoringAntMatchers("/API/**");，这种非链式写法可能导致后续配置覆盖了CSRF的忽略规则，使得CSRF校验仍然影响API请求。
3. Password Encoder注入问题：你直接@Autowired注入BCryptPasswordEncoder，但如果没有通过@Bean声明这个实例，Spring容器中可能不存在该Bean，会引发潜在的依赖注入错误。

修复后的完整配置与代码调整 #

1. 修正Web安全配置类（SecurityConfig） #

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    // 声明BCryptPasswordEncoder为Spring管理的Bean
    @Bean
    public BCryptPasswordEncoder bCryptPasswordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // 链式配置CSRF，忽略所有API路径的CSRF校验
            .csrf(csrf -> csrf.ignoringAntMatchers("/API/**"))
            // 配置请求授权规则
            .authorizeRequests(auth -> auth
                // 允许所有用户访问API/user下的所有接口
                .antMatchers("/API/user/**").permitAll()
                // 其他路径需要认证（如果不需要全开放，可以删除这行或改为permitAll）
                .anyRequest().authenticated()
            )
            // 禁用表单登录，避免跳转登录页
            .formLogin(form -> form.disable())
            // 为REST API配置自定义的403异常返回（返回JSON而非页面）
            .exceptionHandling(ex -> ex
                .accessDeniedHandler((request, response, accessDeniedException) -> {
                    response.setStatus(HttpServletResponse.SC_FORBIDDEN);
                    response.setContentType(MediaType.APPLICATION_JSON_VALUE);
                    response.getWriter().write("{\"code\":403,\"message\":\"Access Denied\"}");
                })
            );
    }
}

2. 完善UserService的密码加密逻辑（可选但必要） #

在创建用户时，务必对密码进行加密存储，否则后续启用认证会导致密码校验失败：

public String addUser(Users user) {
    Users tmpUser = userRepository.findByUsername(user.getUsername());
    if(tmpUser == null) {
        // 对用户密码进行BCrypt加密
        user.setPassword(passwordEncoder.encode(user.getPassword()));
        userRepository.save(user);
        return "CREATED";
    } else {
        return "EXISTED";
    }
}

验证修复效果 #

启动项目后，再次访问http://localhost:8080/API/user/all，应该会正常返回JSON格式的用户列表，而不会跳转到登录页。如果还有问题，可以检查以下几点：

• 确认路径匹配规则是否正确，比如API路径是否存在大小写错误
• 查看控制台日志，是否有Spring Security相关的错误提示
• 确认Users实体类是否正确实现了序列化，保证JSON正常返回

内容的提问来源于stack exchange，提问作者Vũ Minh Vương