web.xml中的多个安全约束不起作用

想通了。

事实证明状态servlet正在加载CSS文档，并且该加载正在触发auth。令我感到困惑的是，状态和版本加载JSP都不需要，而且在安全性约束中不需要考虑这些JSP（我最初采取的步骤之一就是添加

*.jsp

可以正常使用的新web.xml

<security-constraint>    <web-resource-collection>        <web-resource-name>Unprotected Pages</web-resource-name>        <url-pattern>/health/*</url-pattern>        <url-pattern>/monitoringCommon.css</url-pattern>    </web-resource-collection></security-constraint>