配置AnonymousAuthenticationFilter仍出现401访问拒绝问题排查

核心原因 #

你配置的.anyRequest().authenticated()规则，在Spring Security中仅允许已认证且非匿名的用户访问。虽然AnonymousAuthenticationFilter确实为无凭证请求添加了AnonymousAuthenticationToken，但这个token被Spring Security归类为"匿名认证"，并不满足.authenticated()的校验条件，因此被AuthorizationFilter拦截返回401。

从日志里也能看到关键判定逻辑：

Checking authorization on GET /api/posts using org.springframework.security.authorization.AuthenticatedAuthorizationManager@21795633

这个AuthenticatedAuthorizationManager专门校验请求是否来自非匿名的已认证用户，所以匿名请求被判定为权限不足。

解决方案 #

要实现"优先Basic认证，失败则用匿名身份交由控制器处理"的需求，需要修改授权规则，让所有请求（包括匿名）都能通过过滤器链，再由控制器/服务层处理权限逻辑：

修改后的Security配置 #

@Configuration
@EnableWebSecurity
@EnableMethodSecurity
public class RestApiSecurityConfiguration {

    @Bean
    public SecurityFilterChain signInSecurityFilterChain(HttpSecurity http,
                                                         DaoAuthenticationProvider daoAuthenticationProvider) throws Exception {
        http.securityMatcher("/**")
                // 替换authenticated()为permitAll()，允许所有请求（包括匿名）通过过滤器链
                .authorizeHttpRequests(request -> request
                        .anyRequest().permitAll())
                .sessionManagement(manager -> manager.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
                .csrf(AbstractHttpConfigurer::disable)
                .cors(AbstractHttpConfigurer::disable)
                .httpBasic(Customizer.withDefaults())
                .authenticationProvider(daoAuthenticationProvider);
                // 匿名认证默认已开启，无需额外配置.anonymous()，保留也不影响
        return http.build();
    }
}

控制器/服务层处理逻辑 #

在控制器中，你可以通过Authentication对象判断用户身份：

@RestController
@RequestMapping("/api/posts")
public class PostController {

    @GetMapping
    public ResponseEntity<List<Post>> getPosts(Authentication authentication) {
        // 判断是否为匿名用户
        if (authentication instanceof AnonymousAuthenticationToken) {
            // 处理匿名用户逻辑，比如返回公开内容
            return ResponseEntity.ok(getPublicPosts());
        } else {
            // 处理已认证用户逻辑，比如返回个性化内容
            UserDetails user = (UserDetails) authentication.getPrincipal();
            return ResponseEntity.ok(getUserPosts(user.getUsername()));
        }
    }
}

如果使用方法安全注解（因为你开启了@EnableMethodSecurity），也可以用@PreAuthorize做更细粒度的控制：

@GetMapping
@PreAuthorize("isAnonymous() or hasRole('USER')")
public ResponseEntity<List<Post>> getPosts(Authentication authentication) {
    // 业务逻辑
}

内容的提问来源于stack exchange，提问作者Sanlok Lee