Spring Boot3+Security6登录401：CORS配置后仍鉴权失败（密码匹配异常）

问题背景 #

技术栈为React/Axios + Spring Boot3 + Spring Security6的项目，登录时返回401 Unauthorized错误。已尝试以下方案但均无效：

• 在WebSecurityConfig中配置CORS规则
• 放行登录端点
• 在控制器/方法添加@CrossOrigin注解
• 使用POST请求发起登录
• 设置Axios请求头

服务器日志显示：前端请求已到达后端，能正常查询到用户信息，但BCrypt密码匹配时，相同哈希密码验证失败，最终导致鉴权失败返回401。

核心原因分析 #

BCrypt密码匹配失败的常见触发点：

• 存储的哈希密码格式不合法：BCrypt哈希必须是$2a$/$2b$/$2y$开头的60位字符串，若存储时被截断、格式篡改会直接导致验证失败
• 注册与登录的加密逻辑不一致：注册时使用的BCrypt版本、加密强度（rounds参数）和登录验证时的配置不匹配
• 前端传递的密码存在异常：比如输入的密码前后带空格、Axios传递时被转义，导致和用户原始输入不一致
• 数据库字段长度不足：存储哈希密码的字段长度小于60位，导致哈希值被截断

解决方案 #

1. 检查存储的哈希密码格式 #

直接查看数据库用户表的密码字段，确认：

• 字符串长度为60位
• 以$2a$/$2b$/$2y$开头
  若格式错误，重新生成标准BCrypt哈希覆盖存储值。

2. 统一注册与登录的BCrypt加密逻辑 #

确保注册时使用的BCryptPasswordEncoder和登录验证时的实例配置完全一致：

// 注册时的密码加密逻辑
BCryptPasswordEncoder encoder = new BCryptPasswordEncoder(10); // rounds=10
String encodedPassword = encoder.encode(rawPassword);
user.setPassword(encodedPassword);

// Spring Security配置中的密码编码器
@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder(10); // 必须和注册时的rounds参数一致
}

3. 排查前端密码传递问题 #

在Axios登录请求中打印传递的密码原始值，确认无额外空格或转义：

const login = async (username, password) => {
    console.log("前端传递的密码:", password); // 打印验证原始值
    const response = await axios.post('/api/login', {
        username: username,
        password: password
    });
    return response.data;
};

4. 检查数据库字段配置 #

确保用户表的密码字段长度至少为60位，例如MySQL中使用VARCHAR(60)，避免使用更短的长度或TEXT类型（部分数据库会自动截断超长字符串）。

验证步骤 #

1. 手动验证哈希与原始密码的匹配性：

public static void main(String[] args) {
    BCryptPasswordEncoder encoder = new BCryptPasswordEncoder(10);
    String rawPassword = "用户输入的密码";
    String storedHash = "数据库中存储的哈希值";
    System.out.println(encoder.matches(rawPassword, storedHash)); // 输出应为true
}

2. 重启后端服务，测试登录接口，查看日志是否显示密码匹配成功。

内容的提问来源于stack exchange，提问作者epicUsername