配置permitAll()后仍出现Spring Security 401未授权错误求助

针对你配置的SecurityFilterChain出现POST请求/auth/register返回401的问题，可从以下几个方向排查处理：

1. 路径匹配验证 #

• 检查application.properties/application.yml中是否配置了server.servlet.context-path，如果存在路径前缀（比如/api），实际请求路径应为/api/auth/register，此时需将配置中的/auth/**改为{前缀}/auth/**。
• 确认请求路径大小写完全一致，Spring Security的路径匹配默认区分大小写。

2. 显式指定HTTP方法 #

默认requestMatchers("/auth/**")匹配所有HTTP方法，但显式指定POST方法可避免潜在的方法匹配遗漏，修改代码如下：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception{
   return http
        .csrf(csrf -> csrf.disable())
        .authorizeHttpRequests(auth -> {
            auth.requestMatchers(HttpMethod.POST, "/auth/**").permitAll(); // 显式限定POST方法
            auth.anyRequest().authenticated();
        })
        .httpBasic(Customizer.withDefaults())
        .build(); 
}

3. 过滤器链优先级检查 #

若项目中存在多个SecurityFilterChain Bean，需通过@Order注解指定优先级，确保当前配置的过滤器链优先执行：

@Bean
@Order(1) // 数值越小优先级越高，保证此链先处理/auth/**路径
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception{
   // 原有配置内容...
}

4. 请求与日志验证 #

• 发送请求时清除Postman中的Authorization请求头，避免残留的认证信息干扰判断。
• 开启Spring Security调试日志（在application.properties中设置logging.level.org.springframework.security=DEBUG），查看控制台输出的路径匹配日志，确认/auth/register是否被正确匹配到permitAll规则。

5. 自定义过滤器拦截排查 #

检查项目中是否存在自定义Filter，若此类Filter在Spring Security Filter之前执行并返回401，需调整Filter的执行顺序或放行/auth/**路径。

内容的提问来源于stack exchange，提问作者Anurag Sahu