Spring Boot 3.1.0集成WebSocket遇401认证错误求助

1. 检查Spring Security对WebSocket路径的过滤器链配置 #

Spring Boot 3.x对应的Spring Security 6.x中，WebSocket握手请求属于HTTP请求，但如果你的JWT过滤器是通过addFilterBefore或addFilterAfter添加的，需要确保WebSocket的路径被包含在该过滤器链的匹配范围内。

常见错误包括：仅对REST接口路径（如/api/**）应用JWT过滤器，WebSocket路径（如/ws/**）未被覆盖；或者白名单路径不完整，比如SockJS的路径通常是/ws/**/*，仅配置/ws/**可能匹配不全。

检查你的Security配置类，确保：

• WebSocket路径被正确纳入JWT过滤器处理范围，或被正确放行（白名单场景）
• 使用Security 6.x推荐的requestMatchers而非antMatchers

示例配置：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.ignoringRequestMatchers("/ws/**", "/ws/**/*")) // 忽略WebSocket路径的CSRF校验
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/ws/**", "/ws/**/*").permitAll() // 白名单WebSocket相关路径
                .anyRequest().authenticated()
            )
            .addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class); // 确保JWT过滤器覆盖所有请求

        return http.build();
    }
}

2. 验证WebSocket握手请求是否经过JWT过滤器 #

在JWT过滤器的doFilterInternal方法中添加日志，打印请求路径和Authorization头，确认WebSocket握手请求是否进入该过滤器。如果未进入，说明过滤器链未覆盖WebSocket路径，需调整requestMatchers范围。

示例日志代码：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    System.out.println("处理请求路径：" + request.getRequestURI());
    System.out.println("Authorization头：" + request.getHeader("Authorization"));
    // 原有JWT校验逻辑...
}

3. 检查WebSocket配置的端点一致性 #

确保WebSocket配置类中的端点路径与Security配置完全匹配，同时测试环境允许所有来源：

@Configuration
@EnableWebSocketMessageBroker
public class WebSocketConfig implements WebSocketMessageBrokerConfigurer {

    @Override
    public void registerStompEndpoints(StompEndpointRegistry registry) {
        registry.addEndpoint("/ws") // 端点路径需和Security配置一致
            .setAllowedOriginPatterns("*") // 测试环境允许所有跨域来源
            .withSockJS();
    }

    @Override
    public void configureMessageBroker(MessageBrokerRegistry registry) {
        registry.enableSimpleBroker("/topic");
        registry.setApplicationDestinationPrefixes("/app");
    }
}

4. 测试时彻底禁用Security（定位问题根源） #

如果之前禁用测试环境Security未生效，可能是配置方式错误。可以在测试类中添加@AutoConfigureMockMvc(addFilters = false)，或编写测试专用的Security配置：

@Configuration
@Profile("test")
public class TestSecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests(auth -> auth.anyRequest().permitAll())
            .csrf(csrf -> csrf.disable());
        return http.build();
    }
}

若此配置下测试成功，说明问题确实出在Security对WebSocket路径的处理逻辑上。

5. 验证JWT令牌的有效性 #

虽然REST接口认证正常，但WebSocket握手请求的Token可能存在格式错误（如Bearer拼写错误）、有效期过期或权限不符等问题。在JWT过滤器中打印Token解析结果，确认是否能正常生成Authentication对象。

内容的提问来源于stack exchange，提问作者King Midas