添加Spring Boot Security后WebSocket连接失败问题求助

我做了一个React前端+Spring Boot后端的实时聊天项目，用WebSocket实现。原本客户端能正常连接WebSocket，但添加spring-boot-starter-security依赖后，浏览器控制台报错：

WebSocket connection to 'ws://localhost:8080/peer-tutoring-chat-websocket' failed

服务器端完全没有报错信息。

因为要靠这个依赖实现JWT令牌校验和用户角色管理，没法移除。而且只添加依赖、未修改任何安全相关代码就触发了问题。我怀疑是依赖冲突：排查过spring-boot-starter-security的传递依赖、换过旧版本都没用；另外删除com.auth0 java-jwt库的话，WebSocket就能恢复，但这个库也不能移除。

附上相关代码文件：

pom.xml 关键依赖片段 #

<!-- Spring Security -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<!-- Auth0 JWT -->
<dependency>
    <groupId>com.auth0</groupId>
    <artifactId>java-jwt</artifactId>
    <version>4.4.0</version> <!-- 示例版本，实际使用版本可能不同 -->
</dependency>
<!-- WebSocket -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-websocket</artifactId>
</dependency>

WebSocketConfig 配置类 #

@Configuration
@EnableWebSocketMessageBroker
public class WebSocketConfig implements WebSocketMessageBrokerConfigurer {

    @Override
    public void configureMessageBroker(MessageBrokerRegistry config) {
        config.enableSimpleBroker("/topic");
        config.setApplicationDestinationPrefixes("/app");
    }

    @Override
    public void registerStompEndpoints(StompEndpointRegistry registry) {
        registry.addEndpoint("/peer-tutoring-chat-websocket")
                .setAllowedOriginPatterns("*") // 允许跨域
                .withSockJS();
    }
}

React 客户端连接代码 #

import { Stomp } from '@stomp/stompjs';
import SockJS from 'sockjs-client';

const connectWebSocket = () => {
    const socket = new SockJS('http://localhost:8080/peer-tutoring-chat-websocket');
    const stompClient = Stomp.over(socket);
    
    stompClient.connect({}, () => {
        console.log('WebSocket connected');
        stompClient.subscribe('/topic/chat', (message) => {
            console.log('Received message:', message.body);
        });
    }, (error) => {
        console.error('WebSocket connection failed:', error);
    });
};

SecurityConfig 配置类（当前未做自定义配置） #

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    // 目前仅启用默认配置，未添加任何自定义规则
}

1. 核心原因 #

添加spring-boot-starter-security后，默认安全配置会拦截所有HTTP请求，包括WebSocket的握手请求（WebSocket握手基于HTTP协议）。另外com.auth0 java-jwt与Spring Security自带的JWT模块存在类路径冲突，导致安全过滤器链异常，进而阻断WebSocket连接。

2. 具体修复步骤 #

步骤1：放行WebSocket端点的握手请求

修改SecurityConfig，添加规则允许WebSocket端点的HTTP请求通过：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.disable()) // WebSocket握手不需要CSRF，或针对端点配置CSRF豁免
            .authorizeHttpRequests(auth -> auth
                // 放行WebSocket握手端点及SockJS相关路径
                .requestMatchers("/peer-tutoring-chat-websocket/**").permitAll()
                // 其他请求按业务需求配置权限
                .anyRequest().authenticated()
            );
        return http.build();
    }
}

步骤2：解决Auth0 JWT与Spring Security的冲突

如果使用Spring Boot 2.7+或3.x版本，Spring Security自带JWT支持，和com.auth0 java-jwt可能存在类名冲突（比如JWT解析工具类）。可以通过以下方式处理：

• 明确指定依赖版本，避免传递依赖引入冲突版本
• 在Security配置中明确使用Auth0的JWT解析器，替代Spring Security默认实现：

// 示例：配置Auth0 JWT验证器
@Bean
public JwtDecoder jwtDecoder() {
    Algorithm algorithm = Algorithm.HMAC256("your-secret-key"); // 替换为实际密钥
    return JwtDecoders.fromAlgorithm(algorithm);
}

步骤3：确保跨域配置正确

如果前端与后端跨域，除了WebSocketConfig中的setAllowedOriginPatterns("*")，还要在Security中配置全局跨域：

@Bean
public CorsFilter corsFilter() {
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    CorsConfiguration config = new CorsConfiguration();
    config.setAllowCredentials(true);
    config.addAllowedOriginPattern("*");
    config.addAllowedHeader("*");
    config.addAllowedMethod("*");
    source.registerCorsConfiguration("/**", config);
    return new CorsFilter(source);
}

3. 验证步骤 #

1. 重启Spring Boot服务
2. 前端发起WebSocket连接，查看控制台是否仍报错
3. 检查服务器端日志，确认WebSocket握手请求返回200状态码

内容的提问来源于stack exchange，提问作者Jay24