迁移至Spring 6 SecurityFilterChain后测试返回Unauthorized问题排查

1. 检查测试类的认证上下文配置 #

集成测试时Spring Security默认启用严格校验，若测试中未模拟认证用户，请求会直接返回401。旧的WebSecurityConfigurerAdapter在测试场景可能存在默认宽松策略，而SecurityFilterChain无此默认行为。

• 解决：在测试类或方法上添加@WithMockUser模拟认证用户，或用@WithUserDetails加载真实用户数据：

@SpringBootTest
@AutoConfigureMockMvc
public class ApiTest {
    @Test
    @WithMockUser(username = "test", roles = "USER")
    public void testApiAccess() throws Exception {
        // 测试逻辑
    }
}

2. 核对SecurityFilterChain的规则顺序 #

SecurityFilterChain的规则是从上到下匹配，若认证规则先于放行规则配置，会导致请求被提前拦截。

• 错误示例（先认证后放行）：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
        .authorizeHttpRequests(auth -> auth.requestMatchers("/api/test/**").permitAll());
    return http.build();
}

• 正确示例（先放行特定路径，再配置全局认证）：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/api/test/**").permitAll()
            .anyRequest().authenticated());
    return http.build();
}

3. 检查测试环境的CSRF配置 #

生产环境若为无状态接口关闭了CSRF，但测试时Spring Security默认启用CSRF，若测试请求未携带CSRF Token会返回401。

• 解决：在测试专用配置中关闭CSRF，或在测试请求中携带Token：

@Bean
@Profile("test")
public SecurityFilterChain testSecurityFilterChain(HttpSecurity http) throws Exception {
    http.csrf(csrf -> csrf.disable());
    // 其他配置
    return http.build();
}

4. 确认请求路径与requestMatchers的匹配度 #

检查测试请求路径是否与配置的requestMatchers完全一致，比如是否包含上下文路径、是否存在大小写差异。可开启Spring Security调试日志查看拦截过程：

logging.level.org.springframework.security=DEBUG

通过日志能明确请求被哪条规则拦截，定位401原因。

5. 排查测试环境的Profile加载 #

若应用使用多Profile配置（如生产prod、测试test），需确认测试时加载的Security配置是否正确，避免测试Profile下放行规则被覆盖或未加载。

6. 检查MockMvc的配置 #

若使用MockMvc测试，需确保它正确绑定Security配置：添加@AutoConfigureMockMvc注解，或手动配置时加入springSecurity()：

MockMvc mockMvc = MockMvcBuilders.webAppContextSetup(context)
    .apply(springSecurity())
    .build();

内容的提问来源于stack exchange，提问作者GdeA