java antmatchers,spring security配置（.antMatchers("/").permitAll()）后，页面CSRF均报错

用springsecurity遇到一个头疼的问题，先看代码

http

.authorizeRequests()

.antMatchers("/**/*.css").permitAll()

.antMatchers("/**/*.js").permitAll()

.antMatchers("/favicon.ico").permitAll()

.antMatchers("/").permitAll()

.anyRequest().authenticated()

.and()

.formLogin()

.loginPage("/login")

.usernameParameter("email")

.failureUrl("/login?error")

.permitAll()

注意.antMatchers("/").permitAll()

这样配置后，首页登出功能的CSRF会报错,登陆页面的CSRF也会报错(thymeleaf自动附加csrf)。

登出

请问这样配置让根路径(/)取消安全验证有问题？

我看了很多例子都没有.antMatchers("/").permitAll() 这样配置的，那怎么配置首页取消安全验证，并且CSRF不报错呢？