本文详解如何在 spring boot 应用中正确配置并访问 h2 内存数据库控制台，重点解决因 spring security 拦截导致的登录失败、403 或空白页问题，并提供安全、可复用的 `securityfilterchain` 配置方案。

在 Spring Boot 项目中集成 H2 内存数据库是开发与测试阶段的常见实践，但许多开发者在启用 H2 控制台（/h2-console）后遇到无法登录的问题：浏览器跳转至登录页，输入默认用户名 SA、密码留空（或尝试其他组合）均失败，控制台日志也未报数据库连接错误——这通常并非 H2 配置问题，而是 Spring Security 默认拦截了 `/h2-console/` 路径**。

根本原因在于：Spring Security 2.7+ 引入了基于 SecurityFilterChain 的全新配置模型，默认会对所有端点（包括 /h2-console）强制要求认证；而 H2 控制台本身是一个独立的 Web 应用（基于 iframe 渲染），其运行依赖两个关键条件：

• 允许匿名访问 /h2-console/** 所有子路径；
• 允许页面嵌入（即禁用默认的 X-Frame-Options: DENY 头）；
• 禁用 CSRF 保护（H2 控制台表单不携带 CSRF Token）。

? 正确解决方案是定义一个高优先级、专用于 H2 的 SecurityFilterChain Bean，并通过 @Order(5) 确保它在主安全链之前生效（数值越小，优先级越高）：

? 关键说明：

• @Order(5)：确保该链优先匹配 /h2-console/**，避免被后续更宽泛的 /** 规则覆盖；
• AntPathRequestMatcher.antMatcher(...)：精准匹配 H2 控制台路径（支持自定义 spring.h2.console.path）；
• .frameOptions().sameOrigin()：允许 H2 控制台页面在当前域名下通过 <iframe></iframe> 加载（否则显示“Refused to display … in a frame”）；
• .csrf().disable()：必须关闭 CSRF，否则登录表单提交将返回 403；
• .permitAll()：对 H2 路径完全放行，无需认证。

?? 同时，请确认 application.properties（或 application.yml）中已启用 H2 控制台：

? 小贴士：

• 切勿在生产环境启用 H2 控制台：建议使用 @Profile("dev") 或 @ConditionalOnProperty("spring.h2.console.enabled") 包裹 h2FilterChain Bean；
• 若使用 spring-boot-starter-security 但未自定义任何 SecurityFilterChain，Spring Boot 会自动配置一个默认链（拦截所有请求），此时上述专用链必不可少；
• 登录 H2 控制台时，JDBC URL 填写控制台中显示的内存库地址（如 jdbc:h2:mem:testdb），用户名为 sa，密码留空（除非显式设置了 spring.datasource.password）。

完成配置后，重启应用，访问 http://localhost:8080/h2-console 即可直接进入控制台界面，无需登录，且可正常执行 SQL 查询与表管理操作。