Spring Security中.permitAll()与OAuth2ResourceServer共存失效问题

你的问题核心在于：OAuth2ResourceServer的JWT认证过滤器会优先于授权规则执行，哪怕你配置了permitAll()，JWT过滤器仍会尝试校验请求中的令牌（哪怕请求根本没带令牌），校验失败就直接返回401，授权规则没机会生效。

要解决这个问题，最直观的方式是拆分SecurityFilterChain，让公开端点使用单独的过滤器链，不加载JWT认证逻辑。

修改后的SecurityConfig配置 #

@EnableWebSecurity
@Configuration
public class SecurityConfig {

    // 处理公开端点：优先级更高，先匹配请求
    @Bean
    @Order(1)
    public SecurityFilterChain publicEndpointFilterChain(HttpSecurity http) throws Exception {
        http
                // 仅匹配指定公开端点的POST请求
                .securityMatcher(HttpMethod.POST, "/initiate-sign-in-auth")
                .authorizeHttpRequests(auth -> auth
                        .anyRequest().permitAll()
                )
                .csrf(AbstractHttpConfigurer::disable);
        
        return http.build();
    }

    // 处理需要JWT认证的其他端点
    @Bean
    @Order(2)
    public SecurityFilterChain securedEndpointFilterChain(HttpSecurity http) throws Exception {
        http
                .securityMatcher("/**")
                .authorizeHttpRequests(auth -> auth
                        .anyRequest().authenticated()
                )
                .csrf(AbstractHttpConfigurer::disable)
                .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()));
        
        return http.build();
    }
}

关键说明 #

1. 优先级控制：通过@Order注解让公开端点的过滤器链先执行，Spring Security会按Order值从小到大匹配请求，匹配到后就不会再走后续过滤器链。
2. 路径精准匹配：使用securityMatcher(HttpMethod.POST, "/initiate-sign-in-auth")明确限定仅处理该POST请求，避免误匹配其他方法或路径。
3. 分离认证逻辑：公开端点的过滤器链完全不配置oauth2ResourceServer，自然不会触发JWT校验；其他路径则正常应用JWT认证规则。

额外注意事项 #

• 如果你有多个公开端点，可以在securityMatcher中添加多个路径，比如：.securityMatcher(HttpMethod.POST, "/initiate-sign-in-auth", "/public/another-endpoint")
• 确保你的端点路径和请求方法完全匹配，比如如果端点是@PostMapping，就不要漏掉HttpMethod.POST的限定，避免GET请求被错误拦截。

内容的提问来源于stack exchange，提问作者Billzo