Spring Boot文件上传接口集成测试正常，Postman请求返回401

针对Spring Boot中PUT /api/v1/static/images/upload接口MockMvc测试正常但Postman携带同JWT返回401的问题，可从以下方向逐一排查：

1. 验证Postman请求头的正确性 #

• 确认Authorization头格式严格为Bearer <你的JWT令牌>，注意Bearer与令牌之间必须有一个空格，避免拼写错误（如写成Bear）或无空格的情况。
• 检查Content-Type头：该接口为文件上传，需设置为multipart/form-data，Postman若错误设置为application/json等其他类型，可能导致过滤器无法正常解析请求。

2. 检查Spring Security的CSRF配置 #

• 集成测试中MockMvc可能自动处理CSRF令牌，或测试环境默认关闭了CSRF，但本地运行环境未配置。查看SecurityConfig：

  @Bean
  public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
      http.csrf(csrf -> csrf.disable()); // 前后端分离项目建议全局关闭CSRF
      // 其他配置...
  }
  

  若未关闭CSRF，Postman需手动携带CSRF令牌，而MockMvc测试时会自动注入，这会导致Postman请求被拦截。

3. 确认JWT过滤器的路径匹配与优先级 #

• 检查SecurityConfig中过滤器的注册顺序与路径匹配：
  • 确保JwtFilter通过addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class)注册在正确位置，保证认证逻辑优先执行。
  • 确认authorizeHttpRequests中对该接口的配置正确：

    .requestMatchers(HttpMethod.PUT, "/api/v1/static/images/upload").authenticated()
    

  • 排查路径匹配的细节：比如接口路径是否带 trailing slash（结尾斜杠），MockMvc会自动处理路径一致性，但Postman请求的路径若与过滤器匹配规则存在差异（如多了斜杠），会导致过滤器未生效。

4. 排查Multipart请求的特殊处理逻辑 #

• 该接口为文件上传的Multipart请求，检查JwtFilter中获取Authorization头的逻辑是否正常：

  String authHeader = request.getHeader("Authorization");
  

  部分特殊场景下，Multipart请求的头解析可能存在差异，确保直接从HttpServletRequest中获取头信息，而非自定义的解析逻辑。
• 确认Spring Boot的Multipart配置开启：spring.servlet.multipart.enabled=true，虽然配置错误一般不会直接导致401，但可能间接影响请求的正常流转。

5. 排除Postman的缓存或配置残留问题 #

• 直接复制测试中使用的JWT令牌到Postman的Authorization头中，避免使用环境变量导致的引用错误。
• 新建一个Postman请求测试，清除旧请求的缓存或残留配置（如之前设置的错误请求头）。

6. 增加日志调试定位问题 #

• 在JwtFilter的doFilterInternal方法中添加日志，打印请求路径、Authorization头内容及认证过程：

  private static final Logger logger = LoggerFactory.getLogger(JwtFilter.class);
  
  @Override
  protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
      String requestUri = request.getRequestURI();
      String authHeader = request.getHeader("Authorization");
      logger.info("处理请求路径: {}, Authorization头内容: {}", requestUri, authHeader);
  
      if (authHeader != null && authHeader.startsWith("Bearer ")) {
          String token = authHeader.substring(7);
          try {
              Authentication authentication = jwtService.extractAuthentication(token);
              SecurityContextHolder.getContext().setAuthentication(authentication);
              logger.info("认证成功，设置用户信息: {}", authentication.getName());
          } catch (Exception e) {
              logger.error("JWT解析失败: {}", e.getMessage());
          }
      } else {
          logger.warn("未获取到有效的Authorization头");
      }
      filterChain.doFilter(request, response);
  }
  

  启动项目后用Postman请求，通过日志确认：过滤器是否匹配到该请求、是否获取到正确的令牌、解析过程是否异常。

内容的提问来源于stack exchange，提问作者João Vitor Oliveira Corrêa