自定义SecurityFilterChain致Spring Security资源服务器返回401/403问题解析

当你没有自定义SecurityFilterChain Bean时，Spring Boot的OAuth2资源服务器自动配置类会帮你生成默认的安全过滤链，这个默认配置包含：

• 启用OAuth2资源服务器模式
• 基于application.properties里的配置自动设置JWT令牌解析逻辑
• 对所有请求启用认证校验，并处理权限匹配逻辑

但一旦你自定义了SecurityFilterChain Bean，Spring Boot会跳过默认的自动配置，此时如果初始自定义配置缺少关键的OAuth2资源服务器逻辑，就会触发401/403错误，具体原因分以下几点：

1. 未启用OAuth2资源服务器认证机制 #

初始版本的SecurityFilterChain可能仅配置了基础的授权规则（比如authorizeHttpRequests()），但没有调用oauth2ResourceServer()来启用资源服务器的认证逻辑。这导致服务器无法识别请求中的Bearer JWT令牌，直接判定请求未认证，返回401。

比如典型的错误初始配置：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .anyRequest().authenticated()
        );
    return http.build();
}

这个配置只要求请求必须认证，但没指定用OAuth2 JWT完成认证，服务器不知道如何解析令牌，自然返回401。

2. 权限规则与令牌声明不匹配（403场景） #

如果初始配置里启用了认证，但权限规则和JWT令牌中的权限声明不匹配，会返回403。比如配置要求请求需要ADMIN权限，但令牌里只有USER权限，或者没正确映射JWT中的scope/authorities字段到Spring Security的权限体系。

3. 缺少JWT解析配置 #

即使启用了oauth2ResourceServer()，如果没指定JWT的解析方式（比如基于OIDC发现端点、本地密钥），服务器无法验证令牌合法性，也会返回401。默认自动配置会读取application.properties里的spring.security.oauth2.resourceserver.jwt.*配置自动设置解析器，自定义配置时需要手动补全这部分逻辑：

http
    .oauth2ResourceServer(oauth2 -> oauth2
        .jwt(jwt -> jwt
            .jwtAuthenticationConverter(customJwtConverter()) // 可选，自定义权限转换规则
        )
    );

自定义SecurityFilterChain会覆盖默认的OAuth2资源服务器配置，初始版本因为缺失了OAuth2资源服务器的核心认证与令牌校验逻辑，导致请求无法通过身份验证或权限校验，从而返回401/403。你后续添加oauth2ResourceServer及JWT相关配置，本质是补全了默认自动配置里的核心逻辑，因此问题得以解决。

内容的提问来源于stack exchange，提问作者Sadha Moodley