Spring Boot Webflux迁移后POST请求401，GET请求正常问题排查

问题背景 #

将Spring Boot Web应用迁移至Webflux后，GET端点认证正常返回200，但POST端点始终返回401。迁移前Postman的POST请求可正常运行，且将该POST请求改为GET后也能正常响应。已确认CSRF已禁用，使用Spring Boot 3.2.4版本。

相关代码 #

控制器代码 #

@GetMapping
public OrganizationsResponse getAllOrgs(Authentication auth) {
    // 正常工作，返回200和预期响应
}

@PostMapping(consumes = MediaType.APPLICATION_JSON_VALUE)    
public OrganizationsResponse createOrUpdateOrgs(
        @RequestBody OrganizationsRequest orgPost,
        Authentication auth) {
    // 返回401
}

安全配置代码 #

@Configuration
@PropertySource(value = "classpath:application.properties", ignoreResourceNotFound = true)
@EnableWebFluxSecurity
@EnableReactiveMethodSecurity
@EnableAsync
public class SecurityConfig implements WebFluxConfigurer {

    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
        http
            .csrf(ServerHttpSecurity.CsrfSpec::disable)
            .httpBasic(ServerHttpSecurity.HttpBasicSpec::disable)
            .formLogin(ServerHttpSecurity.FormLoginSpec::disable)
            .logout(ServerHttpSecurity.LogoutSpec::disable)
            .authenticationManager(authenticationManager)
            .securityContextRepository(securityContextRepository)
            .authorizeExchange(a -> a.anyExchange().permitAll());

        return http.build();
    }
}

排查方向 #

1. 请求头一致性检查 #

确认Postman中GET和POST请求的认证头（比如Authorization）完全一致：

• 检查POST请求是否因Postman的默认设置丢失或修改了认证头
• 直接对比两种请求的头信息，确保没有差异

2. SecurityContextRepository实现验证 #

自定义的securityContextRepository是Webflux认证流程的核心，检查：

• 是否仅针对GET请求实现了认证凭证提取逻辑，忽略了POST请求
• 验证它能否正确从POST请求的头或body中获取认证信息（如果凭证放在body中的话）

3. ReactiveAuthenticationManager适配问题 #

确保authenticationManager是ReactiveAuthenticationManager的实现，而非Servlet栈的AuthenticationManager：

• 非反应式的认证管理器在Webflux中可能因线程上下文问题，导致POST请求无法正确传递SecurityContext
• 检查认证逻辑中是否有阻塞操作，这会破坏Webflux的反应式流程，间接导致认证失败

4. 请求内容类型与认证流程冲突 #

POST接口指定了consumes = MediaType.APPLICATION_JSON_VALUE，排查：

• 确认Postman发送的POST请求Content-Type头为application/json，类型不匹配可能触发请求处理异常，间接返回401
• 如果认证逻辑依赖请求体内容，Webflux的请求体是延迟解析的，可能导致认证阶段无法获取所需信息，需调整认证流程顺序

5. 全局过滤器/拦截器干扰 #

检查项目中的自定义WebFilter或全局拦截器：

• 是否有针对POST请求的特殊处理逻辑，修改了请求内容或头，导致认证凭证丢失
• 对比GET和POST请求的过滤器执行链，确认没有差异化拦截规则

内容的提问来源于stack exchange，提问作者Ward