Spring Security 6迁移：特定端点过滤器配置遇401问题求助

核心问题分析 #

你遇到的401错误主要源于两个配置问题：

• 过滤器链优先级冲突：你的internalEndpointsFilterChain和默认的defaultSecurityFilterChain都设置了@Order(10)，Spring Security对相同Order值的过滤器链加载顺序不确定，导致/cache/**的请求可能优先走了默认的OAuth认证链，而非你自定义的共享密钥认证链，自然返回401。
• （可能存在的）自定义认证过滤器未正确设置认证上下文：如果sharedSecretAuthenticationFilter没有在认证通过后将Authentication对象存入SecurityContext，即使过滤器执行了，Security依然会判定请求未认证。

修复步骤 #

1. 调整专属过滤器链的优先级
   将internalEndpointsFilterChain的@Order值改得比默认链小（比如@Order(5)），确保它优先匹配/cache/**的请求：

@Bean
@Order(5) // 优先级高于默认链的@Order(10)
SecurityFilterChain internalEndpointsFilterChain(HttpSecurity http) throws Exception {
    http.csrf(csrf -> csrf.disable())
        .sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
        .securityMatcher("/cache/**")
        .addFilterBefore(sharedSecretAuthenticationFilter(), ExceptionTranslationFilter.class)
        .exceptionHandling(exceptions -> exceptions
            .authenticationEntryPoint(new UnauthorizedAuthenticationEntryPoint()))
        .authorizeHttpRequests(auth -> auth
            .anyRequest().fullyAuthenticated());
    return http.build();
}

2. 校验自定义认证过滤器逻辑
   检查sharedSecretAuthenticationFilter的doFilter方法，确保认证通过后正确设置SecurityContext：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    // 此处编写共享密钥认证逻辑
    String secret = request.getHeader("X-Shared-Secret");
    if (validSecret(secret)) {
        // 创建认证对象并存入上下文
        Authentication auth = new UsernamePasswordAuthenticationToken("internal-client", null, Collections.emptyList());
        SecurityContextHolder.getContext().setAuthentication(auth);
    } else {
        // 认证失败直接返回401，避免继续走过滤器链
        response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Invalid shared secret");
        return;
    }
    filterChain.doFilter(request, response);
}

3. 可选：明确授权规则（增强可读性）
   虽然securityMatcher已经限定了路径范围，但可以在authorizeHttpRequests里更明确地指定路径，避免歧义：

.authorizeHttpRequests(auth -> auth
    .requestMatchers("/cache/**").fullyAuthenticated()
    .anyRequest().denyAll()) // 兜底规则，确保其他路径不会被此链处理

额外检查点 #

• 确认请求路径是否完全匹配/cache/**：如果应用有上下文路径（比如/api），需要把securityMatcher改成"/api/cache/**"，或者结合requestMatchers使用antMatcher。
• 检查默认链的规则：确保默认链的requestMatchers没有覆盖/cache/**路径，避免出现规则冲突。

内容的提问来源于stack exchange，提问作者Ruth