引入thymeleaf-extras-springsecurity6导致SecurityFilterChain失效求助

在一个包含公开与私有页面的应用中添加Thymeleaf Security依赖后，SecurityFilterChain失效——所有页面都被强制跳转到Spring Security默认登录页，且CSS等静态资源因认证问题无法加载，此前无此异常。

添加的依赖代码：

<dependency>
    <groupId>org.thymeleaf.extras</groupId>
    <artifactId>thymeleaf-extras-springsecurity6</artifactId>
</dependency>

当前dev环境的SecurityFilterChain配置：

@Bean
@Profile("dev")
public SecurityFilterChain devfilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/h2-console/**").permitAll() 
            .requestMatchers("/admin/**").hasRole("ADMIN")     // 保护管理员页面
            .requestMatchers("/user/**").authenticated()       // 保护用户专属页面
            .anyRequest().permitAll()
            
        )
        .csrf(csrf -> csrf
                .ignoringRequestMatchers("/h2-console/**")
            )
        .headers(headers -> headers
                .frameOptions().sameOrigin()
            )
        .formLogin(form -> form
                .loginPage("/login")     // 使用自定义登录页
                .permitAll()             // 允许所有人访问登录页
            )
            .logout(logout -> logout
                .logoutSuccessUrl("/login?logout")
                .permitAll()
            )
        .userDetailsService(userDetailsService);

    return http.build();
}

• 放行静态资源路径：添加Thymeleaf Security依赖后，静态资源（如CSS、JS、图片）若未被放行会触发认证拦截。需在authorizeHttpRequests中补充静态资源的放行规则，示例如下：

  .authorizeHttpRequests(auth -> auth
      .requestMatchers("/css/**", "/js/**", "/images/**").permitAll() // 根据实际静态资源路径调整
      .requestMatchers("/h2-console/**").permitAll() 
      .requestMatchers("/admin/**").hasRole("ADMIN")
      .requestMatchers("/user/**").authenticated()
      .anyRequest().permitAll()
  )
  

• 验证自定义登录页配置：确认/login对应的Controller和视图能正常返回，且该路径已通过formLogin().permitAll()正确放行，避免登录页本身被拦截导致跳转到默认登录页。
• 检查版本兼容性：确保thymeleaf-extras-springsecurity6与项目中Spring Boot、Spring Security的版本匹配，版本不兼容会导致Security自动配置逻辑异常，建议通过Spring Boot依赖管理统一版本。
• 排查多FilterChain冲突：若项目存在多个SecurityFilterChain Bean，确认@Profile("dev")注解已正确生效，避免其他环境的配置覆盖当前dev环境的规则。

内容的提问来源于stack exchange，提问作者Roshin Raphel