Spring Security配置首页允许全员访问却跳转登录页的问题排查及解决

嘿，我来帮你捋清楚这个问题！从你的代码和描述来看，你明明在SecurityConfig里配置了/home允许所有用户访问，但访问时还是跳转到登录页，核心原因其实出在Spring Boot的组件扫描范围上。

问题根源 #

你提到了「我的Application文件不是在根包」——这就是关键！默认情况下，Spring Boot的@SpringBootApplication注解只会扫描启动类所在包及其子包下的所有组件（包括@Configuration配置类、@Controller控制器等）。如果你的SecurityConfig和AuthController不在启动类的扫描范围内，那这些配置根本没被Spring加载，相当于系统还是用了Spring Security的默认规则：所有请求都需要认证，所以访问/home就会自动跳转到登录页。

你的环境与代码确认 #

你当前使用的环境：

• Spring Security 6.1.4
• Spring Boot 3.1.4
• JDK 20 / Java 17

你的配置代码逻辑本身是没问题的：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        return http
                .csrf(CsrfConfigurer::disable)
                .authorizeHttpRequests(requests -> requests
                        .dispatcherTypeMatchers(DispatcherType.FORWARD, DispatcherType.ERROR).permitAll()
                        .requestMatchers("/home").permitAll()
                )
                .formLogin(withDefaults())
                .build();
    }
}

控制器代码也正常：

@Controller
public class AuthController {

    @GetMapping("/home")
    @ResponseBody
    public String home() {
        return "Home Page";
    }
}

解决方案 #

在你的Spring Boot启动类上，添加显式的包扫描配置，指定包含SecurityConfig和AuthController的根包路径：

@SpringBootApplication(scanBasePackages = "你的项目根包名")
public class YourApplication {
    public static void main(String[] args) {
        SpringApplication.run(YourApplication.class, args);
    }
}

比如你的配置类和控制器都在com.yourcompany.yourproject包下，就把scanBasePackages的值设为这个路径，这样Spring就能正确扫描并加载你的安全配置和控制器了，之后访问localhost:8080/home就不会跳登录页，直接返回"Home Page"。

验证建议 #

修改后可以查看启动日志，确认是否有类似「Loaded SecurityConfig」或者「Mapped GET /home to AuthController.home()」的日志输出，以此验证组件是否被正确扫描加载。

备注：内容来源于stack exchange，提问作者chipbk10