JHipster 8.4.0开放API无认证访问配置问题求助

以下是针对JHipster 8.4.0中未认证API仍返回401的排查及修复步骤：

• 修正Spring Security路径配置
  你的请求路径是/api/account/activated/{login}，但当前配置的/account/activated/**缺少/api前缀，导致Security规则不匹配。在SecurityConfiguration类中，将放行路径修改为/api/account/activated/**，同时注意Spring Security 6已弃用antMatchers，需使用requestMatchers：

  @Bean
  public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
      http
          // ... 其他配置
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/api/account/activated/**").permitAll()
              // ... 其他认证规则
              .anyRequest().authenticated()
          );
      // ... 其他配置
  }
  

  注意：放行规则必须放在anyRequest().authenticated()之前，否则会被全局认证规则覆盖。

• 限定请求方法（可选）
  如果你的接口仅支持GET请求，建议明确指定请求方法，避免误放行其他方法：

  import org.springframework.http.HttpMethod;
  
  // ...
  .requestMatchers(HttpMethod.GET, "/api/account/activated/**").permitAll()
  

• 排查JWT过滤器拦截
  JHipster默认的JWT过滤器会拦截所有/api路径，需确认是否将目标路径排除。检查JWTFilter或相关配置类，确保/api/account/activated/**被添加到忽略列表：

  @Bean
  public OncePerRequestFilter jwtFilter() {
      return new JWTFilter(tokenProvider) {
          @Override
          protected boolean shouldNotFilter(HttpServletRequest request) throws ServletException {
              String path = request.getRequestURI();
              return path.startsWith("/api/account/activated/") || super.shouldNotFilter(request);
          }
      };
  }
  

• 验证方法级注解有效性
  检查AccountResource类上是否存在@PreAuthorize等类级权限注解，如果有，需确保方法上的@PermitAll能正确覆盖类级规则。同时确认已启用方法级安全（JHipster默认已启用，若未启用需添加@EnableMethodSecurity）。

• 开启调试日志定位问题
  在application.yml中开启Spring Security的DEBUG日志，查看请求被哪个规则拦截：

  logging:
    level:
      org.springframework.security: DEBUG
  

  启动项目后重新请求，日志中会显示请求匹配的Security规则、过滤器执行顺序等信息，帮助精准定位拦截点。

• 检查CSRF配置（针对非GET请求）
  如果你的接口是POST/PUT等非GET请求，JHipster默认开启的CSRF保护会拦截未携带CSRF Token的请求。可针对该路径关闭CSRF：

  http
      .csrf(csrf -> csrf
          .ignoringRequestMatchers("/api/account/activated/**")
      )
  

内容的提问来源于stack exchange，提问作者JackmanBR - Paulo Guerra