配置了.permitAll()的/users/register端点仍需授权的原因排查

以下是导致/users/register（POST）仍要求授权的几种常见原因及对应解决办法：

1. 存在优先级更高的SecurityFilterChain配置 #

Spring Security会按@Order注解指定的顺序执行SecurityFilterChain Bean，order值越小优先级越高。如果应用中存在其他SecurityFilterChain，且其规则先匹配到/users/register端点，就会覆盖当前配置的permitAll规则。

解决办法：

• 检查应用中是否有其他SecurityFilterChain Bean；
• 给当前配置添加@Order注解，确保其优先级最高（比如@Order(1)），示例：

@Bean
@Order(1)
public SecurityFilterChain resourceServerFilterChain(HttpSecurity http) throws Exception {
    // 原有配置代码
}

2. 路径匹配规则与实际请求不匹配 #

AntMatcher默认采用严格路径匹配，以下情况会导致规则不生效：

• 实际请求路径带末尾斜杠（如/users/register/），但配置的是/users/register；
• 客户端发送的请求方法不是POST（比如误发了GET请求）。

解决办法：

• 统一路径规则，可添加带末尾斜杠的匹配规则，或使用/users/register/**覆盖子路径：

  antMatcher(HttpMethod.POST, "/users/register"),
  antMatcher(HttpMethod.POST, "/users/register/")
  

• 确认客户端发送的请求方法确实是POST，可通过日志或调试工具验证请求详情。

3. CSRF过滤器拦截（低概率） #

虽然配置了SessionCreationPolicy.STATELESS，Spring Security默认会禁用CSRF，但如果有其他配置显式开启了CSRF，POST请求会被拦截，表现为需要授权的错误。

解决办法：
显式禁用CSRF，在配置中添加：

http.csrf(csrf -> csrf.disable())

4. OAuth2资源服务器的默认规则干扰 #

极少数情况下，OAuth2资源服务器的默认配置可能存在隐含的路径匹配规则，可尝试显式指定JWT处理器，确保配置生效。

解决办法：
保持原有JWT配置不变，同时确保所有permitAll规则在anyRequest().authenticated()之前定义（你的代码已经符合这个顺序，无需调整）。

修改后的完整配置示例：

@Bean
@Order(1)
public SecurityFilterChain resourceServerFilterChain(HttpSecurity http) throws Exception {
    http.csrf(csrf -> csrf.disable())
        .authorizeHttpRequests(auth ->
                auth.requestMatchers(
                        antMatcher("/actuator/health"),
                        antMatcher(HttpMethod.GET, "/users/register/invite/**"),
                        antMatcher(HttpMethod.POST, "/users/register"),
                        antMatcher(HttpMethod.POST, "/users/register/")
                    )
                    .permitAll()
                    .requestMatchers(antMatcher(HttpMethod.POST, "/users/registrations/invites"))
                    .hasRole("admin")
                    .anyRequest()
                    .authenticated())
        .cors(cors -> cors.configurationSource(corsConfigurationSource(null)))
        .sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
        .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()));

    return http.build();
}

内容的提问来源于stack exchange，提问作者Dinu Nicolae