Spring Cloud Gateway OAuth客户端permitAll()规则失效问题排查

核心问题 #

你混淆了Spring Security的Servlet环境和Reactive环境配置。Spring Cloud Gateway是基于Reactor的响应式网关，必须使用ServerHttpSecurity配置安全规则，而非Servlet环境的HttpSecurity。你当前的SecurityFilterChain是Servlet环境配置，在Gateway的Reactive环境中完全不生效，实际起作用的是默认Reactive安全配置，导致/passthru/**的放行规则从未被应用。

正确配置代码 #

替换原有配置，使用Reactive环境的安全配置类：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.reactive.EnableWebFluxSecurity;
import org.springframework.security.config.web.server.ServerHttpSecurity;
import org.springframework.security.web.server.SecurityWebFilterChain;

@Configuration
@EnableWebFluxSecurity // 启用响应式Web安全
public class SecurityConfig {

    @Bean
    public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
        http.authorizeExchange(exchanges -> exchanges
                        .pathMatchers("/passthru/**").permitAll() // 放行指定路径
                        .anyExchange().authenticated() // 其他路径需认证
                )
                .oauth2Login() // OAuth2登录配置
                .logout(logout -> logout.logoutSuccessUrl("/"))
                .csrf(csrf -> csrf.disable());

        return http.build();
    }
}

关键调整说明 #

• 替换HttpSecurity为ServerHttpSecurity：适配Reactive环境
• 用authorizeExchange()替代authorizeHttpRequests()，对应pathMatchers()替代requestMatchers()：响应式环境的路径匹配API
• 添加@EnableWebFluxSecurity注解：明确启用响应式安全体系
• 移除@Order(-1)：Reactive环境默认安全链优先级已满足需求，多链场景再考虑排序

日志佐证 #

从你提供的日志可以看到，请求处理使用的是ServerWebExchangeMatcher、WebSession等Reactive组件，说明应用确实运行在响应式环境，但你原配置是Servlet环境的HttpSecurity，两者完全不兼容，导致你的放行规则未被加载，最终请求匹配默认的/**规则触发OAuth2重定向。

内容的提问来源于stack exchange，提问作者user1657054