Spring Boot API权限配置异常：/api/employees POST仍返回401未授权

1. 核对路径匹配一致性 #

先确认请求的URL和配置的路径完全一致：

• 检查应用是否有上下文路径（比如部署在/demo下，实际请求应为/demo/api/employees，而非直接/api/employees）
• 注意路径大小写：Spring Security默认区分大小写，确保请求路径和配置的大小写完全匹配

2. 确保SecurityFilterChain优先级 #

如果项目里存在多个SecurityFilterChain Bean，Spring会按@Order注解的优先级执行，高优先级的配置会先生效。给当前配置加上高优先级注解：

@Bean
@Order(1) // 提升优先级，保证该规则先被匹配
public SecurityFilterChain securityFilterChain(HttpSecurity security) throws Exception{
        return security.csrf(csrf->csrf.disable())
                .authorizeHttpRequests(authorize -> authorize
                        .requestMatchers(HttpMethod.POST, "/api/employees").permitAll()
                        .anyRequest().authenticated()
                )
                .httpBasic(Customizer.withDefaults())
                .build();
    }

3. 验证依赖版本适配 #

如果用的是Spring Boot 3.x（对应Spring Security 6.x），确认导入的HttpMethod是org.springframework.http.HttpMethod，避免导入其他包的同名类导致匹配失效。

4. 排查自定义拦截器/过滤器干扰 #

检查项目中是否有自定义的拦截器、过滤器（比如日志处理、请求校验类），这些组件如果在Spring Security过滤器之前执行，可能会干扰权限验证逻辑。

5. 开启调试日志定位问题 #

在application.properties中添加调试日志配置，查看请求匹配的详细过程：

logging.level.org.springframework.security=DEBUG

发送请求后，查看日志里的请求匹配记录，确认/api/employees的POST请求是否被正确命中permitAll规则。

6. 简化配置测试 #

暂时简化配置，只保留核心规则，测试是否能正常生效：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity security) throws Exception{
    security.csrf(csrf -> csrf.disable());
    security.authorizeHttpRequests(auth -> auth
            .requestMatchers(HttpMethod.POST, "/api/employees").permitAll()
            .anyRequest().authenticated()
    );
    security.httpBasic(Customizer.withDefaults());
    return security.build();
}

内容的提问来源于stack exchange，提问作者Adarsh Gupta