Spring Cloud Gateway中SecurityFilterChain被忽略的问题求助

核心问题 #

你的自定义安全规则未生效，导致Spring Security默认规则被触发：

• 默认GET请求要求认证（返回401）
• 默认POST请求开启CSRF校验（返回403并提示"An expected CSRF token cannot be found"）

关键排查与修复步骤 #

1. 适配WebFlux环境：使用反应式安全配置 #

Spring Cloud Gateway基于WebFlux构建，不能使用Servlet环境的SecurityFilterChain，必须改用SecurityWebFilterChain（反应式安全链），这是绝大多数配置不生效的核心原因。

正确的配置类示例：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.web.server.ServerHttpSecurity;
import org.springframework.security.web.server.SecurityWebFilterChain;

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
        // 禁用CSRF并允许所有请求
        http.csrf(ServerHttpSecurity.CsrfSpec::disable)
            .authorizeExchange(exchanges -> exchanges.anyExchange().permitAll());
        return http.build();
    }
}

2. 检查配置类与Bean有效性 #

• 确保配置类添加@Configuration注解，让Spring识别为配置类
• 确保SecurityWebFilterChain Bean是public方法，且正确注入ServerHttpSecurity参数
• 若存在多个安全配置类，需用@Order指定优先级（数值越小优先级越高）

3. 验证依赖版本兼容性 #

确保spring-boot-starter-security与spring-cloud-starter-gateway版本匹配，避免版本差异导致的配置失效。示例POM依赖：

<dependencies>
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-starter-gateway</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
</dependencies>

4. 调试确认配置加载状态 #

在配置类中添加日志，验证Bean是否被Spring初始化：

import lombok.extern.slf4j.Slf4j;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.web.server.ServerHttpSecurity;
import org.springframework.security.web.server.SecurityWebFilterChain;

@Slf4j
@Configuration
public class SecurityConfig {

    @Bean
    public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
        log.info("加载自定义WebFlux安全配置");
        http.csrf(ServerHttpSecurity.CsrfSpec::disable)
            .authorizeExchange(exchanges -> exchanges.anyExchange().permitAll());
        return http.build();
    }
}

启动服务后，若控制台未输出该日志，说明配置类未被扫描，需检查包路径是否在Spring Boot扫描范围内。

5. 排除默认配置干扰 #

若问题仍存在：

• 移除application.yml中可能存在的Spring Security自动配置参数
• 检查项目中是否有其他SecurityWebFilterChain或SecurityFilterChain Bean，避免规则冲突

修复验证 #

重启服务后测试：

• GET请求应返回200（或后端服务的正常响应）
• POST请求不再出现CSRF相关错误

内容的提问来源于stack exchange，提问作者Christian Del Rio