Не работает авторизация по userDetailsService. Invalid username and password

Я думаю проблема связана с тем, что вы не внедрили зависимости и определить AuthenticationProvider(в нашем случае DaoAuthenticationProvider), настроить или отключить csrf, указать название полей username, password в loginPage которые будем вытаскивать и создавать UsernamePasswordAuthenticationToken:

UserService.java:

    @Component(value = "customUserDetailsService")
    public class UserService implements UserDetailsService {
    private final UserRepo userRepo;
    
    @Autowired
    public UserService(UserRepo userRepo) {
        this.userRepo = userRepo;
    }
    
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        return userRepo.findByUsername(username);
    }
    }

• внедрить зависимость UserRepo с помощью конструктора через аннотацию @Autowired
• поменять аннотацию @Service на @Component,т.к. @Service в основном используют для классов описывающих бизнес логику,а @Component более обобщенная аннотация
• указать название бина @Component(value = "customUserDetailsService"), т.к. помимо вашей есть и другие реализации в Spring(для избежания конфликтов)

WebSecurityConfig.java:

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
private final UserService userService;
@Autowired
public WebSecurityConfig(@Qualifier("customUserDetailsService") UserService userService) {
    this.userService = userService;
}
   
@Override
protected void configure(HttpSecurity http) throws Exception {
    http
            .csrf().disable()
            .authorizeRequests()
                .antMatchers("/","/registration")
                .permitAll()
                .anyRequest().authenticated()
            .and()
                .formLogin()
                .loginPage("/login")
                .usernameParameter("username")
                .passwordParameter("password")
                .permitAll()
            .and()
                .logout()
                .permitAll();
}

@Bean
public DaoAuthenticationProvider daoAuthProvider() {
    DaoAuthenticationProvider daoAuthProvider = new DaoAuthenticationProvider();
    daoAuthProvider.setPasswordEncoder(NoOpPasswordEncoder.getInstance());
    daoAuthProvider.setUserDetailsService(userService);
    return daoAuthProvider;
}
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.authenticationProvider(daoAuthProvider());
}
}

• внедряем зависимость UserService userService благодаря аннотации @Autowired над конструктором WebSecurityConfig.

• с помощью @Qualifier("customUserDetailsService") указываем бин с определенным названием("customUserDetailsService"), который имеет соответствующую реализацию.

• определяем AuthenticationProvider с помощью которого будет осуществлять аутентификация, в данной ситуации DaoAuthenticationProvider.Рассмотрим подробнее: когда ваш запрос проходит по FilterChain и дойдет до UsernamePasswordAuthenticationFilter, то так как в вашем запросе будут содержаться username и password, он их вытащит и на их основе создаст UsernamePasswordAuthenticationToken(username, password,) после данный объект аутентификации передастся AuthenticationManager, который будет искать подходящий AuthenticationProvider поддерживающий аутентификацию объекта UsernamePasswordAuthenticationToken и наткнется как раз на наш DaoAuhenticationProvider, который в свою очередь использует UserDetailsService - лезет в бд и ищет нашего юзера, на основе данных юзера создаст UserDetails() содержащий username, password,GrantedAuthority. В итоге UserDetailsService возвращает UserDetails и сравнивает данные UserDetails с данными UsernamePasswordAuthenticationToken, если они совпадают то все ок, иначе ошибка.

login.html

Предлагаю отключить csrf если вы не знаете как его настраивть:

• удалить или закоментить строчку <input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}" />

• отключить csrf: http.csrf().disable()