Spring Security中permitAll无法放行接口请求问题求助

针对你遇到的问题，下面是几个排查和解决的方向：

1. 显式指定HTTP方法匹配 #

你的requestMatchers只配置了路径，但没有限定HTTP方法。虽然默认匹配所有方法，但显式指定POST能避免潜在的规则冲突，修改代码如下：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http.authorizeHttpRequests(authorize -> authorize
            // 显式指定POST方法
            .requestMatchers(HttpMethod.POST, "/user/register").permitAll()
            .anyRequest().authenticated());
    http.httpBasic(Customizer.withDefaults());
    http.sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS));
    http.csrf(customizer -> customizer.disable());
    http.cors(customizer -> customizer.disable());
    return http.build();
}

2. 检查是否存在多个SecurityFilterChain Bean #

如果应用中定义了多个SecurityFilterChain Bean，Spring Security会按照@Order注解的优先级顺序执行。若有优先级更高的FilterChain拦截了/user/register请求，就会返回401。

• 确保当前FilterChain的@Order值足够小（优先级更高），或者移除冲突的FilterChain配置。

3. 验证路径匹配是否正确 #

• 检查应用是否配置了上下文路径（server.servlet.context-path），如果有比如/api，实际请求路径应为/api/user/register，需要将requestMatchers中的路径同步修改。
• 确认请求路径和配置路径完全一致，避免多余斜杠、大小写不一致等问题（Spring Security路径匹配默认大小写敏感）。

4. 排查自定义Filter或AuthenticationProvider #

如果应用中有自定义Filter或AuthenticationProvider，检查它们是否在SecurityFilterChain之前执行，且强制要求所有请求认证。这类全局拦截会绕过permitAll规则，导致401错误。

5. 开启调试日志排查 #

在application.properties中添加日志配置，查看Spring Security的请求匹配过程：

logging.level.org.springframework.security=DEBUG

重启应用后重新请求，查看日志中关于请求匹配的详细信息，确认/user/register是否被正确匹配到permitAll规则。

内容的提问来源于stack exchange，提问作者Minh Nhat T.