Spring Security permitAll()失效，Postman无法访问Spring Boot的/api/register接口

以下是针对该问题的排查和解决方案：

1. 确认路径匹配准确性 #

• 检查应用是否配置了server.servlet.context-path，如果有，Spring Security的路径匹配是相对于上下文路径的。比如上下文路径为/app，则配置中requestMatchers("/api/register")对应的实际请求路径是/app/api/register，需确保Postman请求路径一致。
• 区分antMatchers和mvcMatchers：mvcMatchers会遵循Spring MVC的路径规则（如忽略.html等后缀），而antMatchers是纯URL匹配，根据接口的实际URL规则选择合适的匹配方式。

2. 检查Security配置的正确性与优先级 #

Spring Security 6+（推荐写法） #

确保配置类使用SecurityFilterChain Bean，且路径规则顺序正确（permitAll的规则要放在anyRequest之前）：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/register").permitAll() // 优先放行注册接口
                .anyRequest().authenticated() // 其他请求需认证
            )
            .csrf(csrf -> csrf
                .ignoringRequestMatchers("/api/register") // 禁用注册接口的CSRF防护
            );
        return http.build();
    }
}

Spring Security 5.x（旧版本） #

继承WebSecurityConfigurerAdapter时，确保配置顺序正确：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/api/register").permitAll()
                .anyRequest().authenticated()
            .and()
            .csrf()
                .ignoringAntMatchers("/api/register");
    }
}

• 如果存在多个Security配置类，添加@Order(1)注解确保当前配置优先级更高，避免被其他配置覆盖。

3. 禁用注册接口的CSRF防护 #

Spring Security默认开启CSRF防护，POST请求若未携带CSRF令牌会被拦截。对于注册这类公开接口，直接禁用该路径的CSRF防护即可（代码已包含在上述配置示例中）。

4. 分析调试日志定位拦截原因 #

在application.properties中开启Security调试日志：

logging.level.org.springframework.security=DEBUG

查看日志中关于/api/register请求的处理流程，重点关注：

• 哪个过滤器拦截了请求（如JWT过滤器、自定义过滤器）
• 拦截时的决策原因（如"Authenticated=false"、"Missing CSRF token"等）

如果存在自定义过滤器，需确保它不对/api/register路径进行拦截，或者调整过滤器执行顺序，让Security的路径匹配逻辑优先生效。

5. 验证Postman请求的正确性 #

• 确认请求方法为POST，请求头Content-Type与接口接收格式一致（如application/json）
• 检查请求参数是否符合接口定义，避免因参数校验失败导致的异常被错误处理为401响应

内容的提问来源于stack exchange，提问作者Aditya Daharwal