Spring+Angular认证失败求助：凭证正确却返回401未授权错误

针对你遇到的正确账号密码返回401的问题，从前后端分别梳理常见问题点和解决方案：

后端（Spring Boot）排查要点 #

1. 安全配置拦截了登录接口 #

Spring Security默认会拦截所有请求，需确保登录接口被设置为匿名可访问，同时根据前后端分离场景调整CSRF和CORS配置：

• 确认登录接口路径在authorizeHttpRequests中配置了permitAll()
• 前后端分离场景建议关闭CSRF（或配置令牌传递），否则会拦截POST请求
• 配置CORS允许前端域名、携带凭证（withCredentials）

示例正确配置：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Autowired
    private UserDetailsService userDetailsService;

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.disable())
            .cors(cors -> cors.configurationSource(corsConfigurationSource()))
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/auth/login").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginProcessingUrl("/api/auth/login")
                .usernameParameter("username")
                .passwordParameter("password")
                .successHandler((req, res, auth) -> {
                    res.setStatus(HttpStatus.OK.value());
                })
                .failureHandler((req, res, ex) -> {
                    res.setStatus(HttpStatus.UNAUTHORIZED.value());
                })
            );
        return http.build();
    }

    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration config = new CorsConfiguration();
        config.setAllowedOrigins(Arrays.asList("http://localhost:4200"));
        config.setAllowedMethods(Arrays.asList("GET", "POST"));
        config.setAllowedHeaders(Arrays.asList("*"));
        config.setAllowCredentials(true);
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", config);
        return source;
    }
}

2. 密码加密匹配失败 #

• 确保数据库中存储的密码是通过BCryptPasswordEncoder（或你配置的编码器）加密后的字符串
• 验证UserDetailsService中返回的用户密码与数据库存储一致，且密码编码器在Security配置中正确注入

3. UserDetailsService实现错误 #

• 检查loadUserByUsername方法是否正确从数据库加载用户信息，是否返回了包含正确用户名、加密密码和权限的UserDetails对象
• 注意用户名大小写匹配问题（比如数据库存储小写，前端传大写）

4. 开启调试日志定位问题 #

在application.yml中添加日志配置，查看认证流程细节：

logging:
  level:
    org.springframework.security: DEBUG

日志会显示用户是否被加载、密码匹配结果、请求是否被拦截等关键信息

前端（Angular）排查要点 #

1. 请求格式与参数错误 #

• 确认请求的Content-Type设置为application/json
• 检查请求体的字段名与后端usernameParameter、passwordParameter配置一致（比如不要把username写成userName）
• 确保请求体是合法JSON格式，无语法错误

2. 凭证携带配置 #

如果后端使用Session认证，需在请求中开启withCredentials: true，否则Cookie无法传递：

login(username: string, password: string) {
  const headers = new HttpHeaders({ 'Content-Type': 'application/json' });
  return this.http.post('/api/auth/login', { username, password }, {
    headers,
    withCredentials: true
  });
}

3. 请求路径匹配问题 #

确认前端请求的URL与后端loginProcessingUrl配置完全一致，避免路径拼写错误导致请求被拦截

调试步骤 #

1. 用Postman直接调用后端登录接口，排除前端问题：如果Postman请求成功，说明问题在前端；如果Postman也返回401，重点排查后端
2. 查看浏览器开发者工具的Network标签：检查请求的Headers、Request Payload是否符合要求，是否有跨域错误
3. 结合后端DEBUG日志，定位认证失败的具体环节（用户未找到、密码不匹配、请求被拦截等）

内容的提问来源于stack exchange，提问作者GotaKev