spring securityのpermitAllが「/h2-console/**」に対して効かない

Question

前提

・Spring bootアプリケーション
・Spring securityを導入
・h2DBを導入

実現したいこと

h2-consoleに認証なしでアクセスしたいです。
SecurityConfigには以下を設定しています。

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http.formLogin().and().httpBasic().and()
                .headers().frameOptions().disable().and()
                .authorizeHttpRequests(authz -> authz
                        .requestMatchers(PathRequest.toStaticResources().atCommonLocations()).permitAll()
                        .mvcMatchers("/h2-console/**").permitAll()
                        .anyRequest().authenticated())
                .csrf().disable();
        return http.build();
    }

発生している問題・エラーメッセージ

h2-consoleにアクセスするとlogin画面にリダイレクトされてしまう。
o.s.security.web.FilterChainProxy : Securing GET /h2-console/
o.s.s.web.DefaultRedirectStrategy : Redirecting to http://localhost:8080/login

試したこと

mvcMatchers("/**").permitAll()でh2-consoleにアクセスできることは確認しています。
ですがこれは避けたいです。

Answer 1

localhost:8080/h2-console/は、実際には「spring.h2.console.path(servlet) + "/"」の合成URLです。
mvcMatchersは、Spirng MVCパターンに従って書く必要があるため、以下のような書き方になります。

.authorizeHttpRequests(authz -> authz
    .mvcMatchers("/**").servletPath("/h2-console").permitAll()

// これは、以下と同等になります
.authorizeHttpRequests(authz -> authz
    .antMatchers("/h2-console/**").permitAll()

ぱっと見で、分かりづらい部分なので
h2-consoleのような特殊なURLは、antMatchersで書いた方が楽かもしれません（通常のURLは、mvcMatchersの方が良いです）

Comments

[avecentar]

おかげさまで解消いたしました。
h2-consoleがサーブレットパスというのは全く認識外で、非常に助かりました。