Spring Boot MockMvc单元测试权限验证返回401异常排查

一、两种测试方式的核心差异 #

• 直接调用控制器方法：本质就是普通Java方法调用，Spring Security的HTTP层面权限校验（过滤器链）完全没参与。@WithMockUser只是把模拟用户塞进了SecurityContext，但如果控制器方法没加@PreAuthorize这类方法级权限注解，或者测试上下文没开启方法级安全（@EnableMethodSecurity），权限校验根本不会触发，自然返回200。
• MockMvc测试：是模拟完整的HTTP请求链路，请求会经过DispatcherServlet、Spring Security过滤器链。权限校验是通过过滤器链里的FilterSecurityInterceptor完成的，会严格匹配你在SecurityConfig里配置的URL-权限规则，一旦@WithMockUser的权限和规则不匹配，就会返回401。

二、MockMvc的执行逻辑 #

MockMvc启动时会加载完整的Spring MVC和Spring Security上下文，请求处理流程是：

1. 模拟HTTP请求发送到DispatcherServlet
2. 依次经过Spring Security的过滤器链（比如认证过滤器、权限校验过滤器）
3. 权限校验过滤器会根据请求URL匹配SecurityConfig里的规则（比如antMatchers("/users").hasAuthority("user.read")）
4. 对比当前SecurityContext里的用户权限，不匹配就返回401/403

而直接调用控制器方法时，跳过了所有HTTP层面的过滤器和拦截器，直接执行方法逻辑，只有方法上的@PreAuthorize会触发AOP校验，要是没开方法级安全，这步也会跳过。

三、MockMvc返回401的常见排查点 #

• 权限规则和@WithMockUser不匹配：比如SecurityConfig里用的是hasRole("USER")，但你给的是authorities = "user.read"——Spring Security的hasRole会自动给权限加ROLE_前缀，得改成roles = "USER"或者authorities = "ROLE_USER"才行。
• 测试类配置不全：没加@AutoConfigureMockMvc或者@SpringBootTest，导致MockMvc没加载Spring Security的过滤器链，权限校验逻辑未生效。
• 请求URL写错：比如你用MockMvc请求的是/api/users，但SecurityConfig里的权限规则是针对/users，URL匹配失败会导致权限校验不通过。
• @WithMockUser位置错误：没把注解加在测试类或者测试方法上，导致模拟用户没被正确设置到SecurityContext里。

四、两种测试方式的适用场景 #

• 直接调用控制器方法：适合快速验证控制器的业务逻辑，比如参数解析、返回值封装，缺点是没法测试HTTP链路的逻辑（比如拦截器、Security过滤器），也没法验证URL层面的权限控制。
• MockMvc测试：适合测试完整的HTTP请求流程，能覆盖Security权限校验、拦截器、过滤器的逻辑，更贴近真实生产环境的请求情况，是集成测试的首选，但启动速度比直接调用方法慢。

内容的提问来源于stack exchange，提问作者Torsten