更改此行： .antMatchers("/").hasRole("USER") 对此： .anyRequest().hasRole("USER") .

只检查配置的URL。如果不配置url，则根本不会对其进行检查。
因此，您应该添加一个检查所有其他URL的配置，请参阅spring安全参考：
11.2. 使用filtersecurityinterceptor授权httpservletrequest
[...]

protected void configure(HttpSecurity http) throws Exception {
    http
        // ...
        .authorizeRequests(authorize -> authorize                                1                     
            .mvcMatchers("/resources/**", "/signup", "/about").permitAll()       2  
            .mvcMatchers("/admin/**").hasRole("ADMIN")                           3  
            .mvcMatchers("/db/**").access("hasRole('ADMIN') and hasRole('DBA')") 4  
            .anyRequest().denyAll()                                              5  
        );
}

1指定了多个授权规则。每一条规则都是按照它们声明的顺序来考虑的。
2我们指定了任意用户都可以访问的多个url模式。具体来说，如果url以“/resources/”、等于“/signup”或等于“/about”开头，则任何用户都可以访问请求。
3任何以“/admin/”开头的url都将被限制为具有“role\u admin”角色的用户。您会注意到，由于我们调用的是hasrole方法，所以不需要指定“role”前缀。
4任何以“/db/”开头的url都要求用户同时具有“role\u admin”和“role\u dba”。您会注意到，由于我们使用的是hasrole表达式，因此不需要指定“role\”前缀。
5任何尚未匹配的url都被拒绝访问。如果您不想意外忘记更新授权规则，这是一个很好的策略。

为了保护未在configure方法中配置的api，必须添加行 .anyRequest().denyAll() ```
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/admin").hasRole("ADMIN")
.antMatchers("/user").hasAnyRole("ADMIN", "USER")
.antMatchers("/").hasRole("USER")
.anyRequest().denyAll()
.and()
.formLogin();
}
}

对于每个要保护的请求，而不在configure方法中配置它

protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests(authorize -> authorize
.anyRequest().authenticated()
);
}