Spring Boot中如何绕过SOAP Web服务端点的身份验证

你的问题核心是配置了permitAll()但SOAP端点仍被要求认证，通常是请求匹配规则不精确或自定义JWT过滤器提前拦截导致的，下面是具体排查和解决步骤：

1. 精确匹配SOAP端点的请求路径与方法 #

SOAP接口通常仅接受POST请求，你当前的/ws/register/**匹配的是路径前缀下的所有子路径，但实际端点是/ws/register，可以更精确地指定请求方法和路径，避免匹配规则模糊：

修改authorizeHttpRequests部分：

.authorizeHttpRequests(auth -> auth
        // 精确匹配POST请求的SOAP端点，允许匿名访问
        .requestMatchers(HttpMethod.POST, "/ws/register").permitAll()
        .anyRequest().authenticated())

如果你的SOAP服务还包含WSDL路径（比如/ws/register.wsdl），可以一并加入：

.requestMatchers(HttpMethod.POST, "/ws/register", "/ws/register.wsdl").permitAll()

2. 检查自定义JWT过滤器是否拦截了SOAP端点 #

你的代码中添加了authenticationJwtTokenFilter()，这个过滤器会在Spring Security的授权规则之前执行，如果它没有排除SOAP端点，就会提前触发身份验证。

解决方法：在JWT过滤器中排除目标路径 #

如果你的JWT过滤器继承自OncePerRequestFilter，可以重写shouldNotFilter方法直接放行SOAP端点：

@Override
protected boolean shouldNotFilter(HttpServletRequest request) throws ServletException {
    String requestURI = request.getRequestURI();
    // 放行SOAP端点
    return "/ws/register".equals(requestURI);
}

或者在doFilterInternal方法开头添加判断：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    String requestURI = request.getRequestURI();
    if ("/ws/register".equals(requestURI)) {
        filterChain.doFilter(request, response);
        return;
    }
    // 原有JWT验证逻辑
}

3. 验证SecurityFilterChain的生效条件 #

你的配置使用了@ConditionalOnProperty(name="social.login", havingValue = "false")，请确认配置文件中social.login的属性值确实为false，否则这个Security配置不会生效，会使用默认的安全规则。

4. 使用精确的请求匹配器 #

如果上述方法无效，可以使用AntPathRequestMatcher来明确匹配规则：

.requestMatchers(new AntPathRequestMatcher("/ws/register", "POST")).permitAll()

修改后的完整配置示例：

@Bean
@ConditionalOnProperty(name="social.login", havingValue = "false")
public SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
    httpSecurity
            .csrf(csrf -> csrf.disable())
            .authorizeHttpRequests(auth -> auth
                    .requestMatchers(HttpMethod.POST, "/ws/register").permitAll()
                    .anyRequest().authenticated())
            .sessionManagement(sess -> sess.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
            .httpBasic(Customizer.withDefaults())
            .authenticationProvider(daoAuthenticationProvider())
            .addFilterBefore(authenticationJwtTokenFilter(), UsernamePasswordAuthenticationFilter.class);

    return httpSecurity.build();
}

内容的提问来源于stack exchange，提问作者Sharkey Shivam