Spring Security 6配置：免认证URL仍返回401的问题排查

1. 修正路径匹配规则 #

你的实际请求路径是/internal/token/xxx，而配置的/internal/token仅匹配精确路径，无法覆盖子路径。需要修改为通配符匹配：

.requestMatchers("/internal/token/**").permitAll()

**表示匹配该路径下的所有层级子路径，这样/internal/token/xxx这类请求就能被正确匹配并允许匿名访问。

2. 修正Keycloak域名拼写错误 #

日志中提到的locahost是拼写错误，改为正确的localhost，确保Spring Security能正常连接Keycloak获取证书，避免IO错误导致的认证流程异常（即使是免认证路径，整体Security上下文异常也可能影响请求处理）。

3. 确保配置顺序正确 #

Spring Security的规则匹配是自上而下按顺序生效，必须把permitAll()的规则放在其他认证规则（比如anyRequest().authenticated()）之前，示例完整配置如下：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/internal/token/**").permitAll() // 先配置免认证规则
                .anyRequest().authenticated() // 再配置其他请求需认证
            )
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(jwt -> jwt
                    .jwtAuthenticationConverter(jwtAuthenticationConverter())
                )
            );
        return http.build();
    }

    // 其他Keycloak相关配置（比如JWT转换器）
}

4. 验证请求是否携带不必要的认证头 #

如果请求时携带了过期的JWT Token，虽然免认证路径应该忽略认证，但部分场景下可能因为Security上下文的异常处理导致返回401。可以在Postman中去掉Authorization头，直接请求/internal/token/xxx，验证是否能正常访问。

5. 排查是否有其他拦截干扰 #

检查项目中是否存在自定义Filter、拦截器，或者其他Security配置类，确保它们没有提前拦截/internal/token/**路径并要求认证。

内容的提问来源于stack exchange，提问作者Sam0080