spring boot 3.x 中使用 `securityfilterchain` 配置权限规则时，若未正确声明配置类为 spring 配置组件（如缺少 `@configuration`），会导致安全规则不生效，所有请求仍被默认 basic 认证拦截。
在 Spring Boot 3.x（基于 Spring Security 6.0+）中，SecurityFilterChain 是声明式安全配置的核心机制。但一个极易被忽略的关键点是：安全配置类本身必须被 Spring 容器识别为配置类，否则 @Bean 方法不会被扫描和注册，整个安全策略将形同虚设——此时 Spring Security 会回退到默认配置（例如启用全局 Basic Auth），导致本应公开的 /public 接口也返回 401 Unauthorized。
✅ 正确配置示例
确保你的安全配置类添加了 @Configuration 注解（同时建议加上 @EnableWebSecurity，尽管在 Spring Boot 3.1+ 后非强制，但显式声明更清晰、可读性更强）：
@Configuration
@EnableWebSecurity
public class SecurityConfiguration {
@Bean
public SecurityFilterChain configure(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests(authz -> authz
.requestMatchers(HttpMethod.GET, "/public").permitAll() // ✅ 允许匿名访问
.requestMatchers(HttpMethod.GET, "/private").authenticated() // ✅ 需认证
.anyRequest().denyAll() // ✅ 其他路径一律拒绝
)
.httpBasic(); // 可选：仅对受保护路径触发 Basic Auth 提示
return http.build();
}
}? 关键验证点：启动日志中应出现类似 Creating filter chain: any request, [org.springframework.security.web...AuthorizationFilter] 的输出；若无，则配置类未被加载。
⚠️ 常见陷阱与注意事项
- 遗漏 @Configuration：这是本问题的根本原因。没有该注解，@Bean 方法不会被 Spring 容器管理，SecurityFilterChain 实例根本不会注册。
- 类路径扫描未覆盖：确认该配置类位于主应用类（标注 @SpringBootApplication 的类）的包或其子包下，否则 Component Scan 无法发现。
- 多个 SecurityFilterChain Bean 冲突：若定义了多个 @Bean SecurityFilterChain，需明确指定优先级（通过 @Order）或确保路径匹配互斥，避免意外交互。
- permitAll() ≠ 禁用认证过滤器：permitAll() 表示“授权通过”，但请求仍会经过完整的安全过滤链（如 CsrfFilter、BasicAuthenticationFilter）。对于真正无需任何安全上下文的端点（如健康检查 /actuator/health），可考虑配合 security.ignored（已废弃）或更推荐的方式——使用 RequestMatcher 排除路径（见进阶技巧）。
- 调试技巧：启用 logging.level.org.springframework.security=TRACE 可查看详细的匹配与授权决策日志，快速定位哪条规则被命中或为何被拒绝。
✅ 进阶：彻底排除静态资源或监控端点（可选）
若希望某些路径完全绕过 Spring Security 过滤链（即不执行任何安全逻辑），可使用 WebSecurity（注意：此方式跳过整个 FilterChainProxy）：
@Configuration
@EnableWebSecurity
public class SecurityConfiguration {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests(authz -> authz
.requestMatchers("/private").authenticated()
.anyRequest().denyAll());
return http.build();
}
@Bean
public WebSecurityCustomizer webSecurityCustomizer() {
return (web) -> web
.ignoring()
.requestMatchers("/public", "/actuator/**", "/swagger-ui/**", "/v3/api-docs/**");
}
}? WebSecurityCustomizer.ignoring() 中的路径将完全跳过 Spring Security 过滤器链，性能更高，适用于真正的公共资源（如前端静态文件、开放 API 文档等）。
总结
Spring Security 3.x 的配置看似简洁，但高度依赖 Spring 的组件模型。@Configuration 不是装饰，而是功能生效的前提。务必养成习惯：
✅ 所有含 @Bean 的安全配置类必须加 @Configuration；
✅ 启动时检查日志确认 SecurityFilterChain 已构建；
✅ 优先使用 requestMatchers(...).permitAll() 控制授权逻辑，而非盲目忽略过滤链；
✅ 复杂场景善用 WebSecurityCustomizer 精准排除路径。
修复后，curl http://localhost:8080/public 将直接返回 200 响应，无需任何认证凭据——这才是 permitAll() 的正确表现。
