Spring Security 6.0登录注册端点无法绕过JWTRequestFilter问题求助

你遇到的核心问题是：permitAll()仅控制授权环节允许访问，而JWT过滤器是在授权之前就被执行的，所以即使配置了permitAll()，请求依然会经过JWTRequestFilter；而web.ignoring()如果使用方式不对，也无法跳过过滤器链。下面给出两种可行的解决办法：

方案一：在JWT过滤器中跳过指定路径 #

直接在JWTRequestFilter的过滤逻辑里判断请求路径，对白名单端点直接放行，不执行JWT验证逻辑：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    String requestUri = request.getRequestURI();
    
    // 匹配白名单路径，直接放行
    if ("/api/v1/auth/login".equals(requestUri) || "/api/v1/auth/register".equals(requestUri)) {
        filterChain.doFilter(request, response);
        return;
    }
    
    // 原有JWT验证逻辑
    String authHeader = request.getHeader("Authorization");
    // ... 后续的Token解析、认证逻辑
}

这种方式灵活，适合需要对部分路径跳过过滤器，但仍保留Spring Security其他处理（比如CORS）的场景。

方案二：通过WebSecurityCustomizer完全忽略路径 #

如果希望白名单路径完全跳过整个Spring Security过滤器链（包括JWT过滤器、授权、CSRF等），可以配置WebSecurityCustomizer：

在你的SecurityConfig类中添加以下Bean：

@Bean
public WebSecurityCustomizer webSecurityCustomizer() {
    return web -> web.ignoring()
            .requestMatchers("/api/v1/auth/login", "/api/v1/auth/register");
}

注意：这种方式下，这些路径不会经过任何Spring Security的处理，包括你之前配置的CSRF、CORS禁用逻辑，如果需要对这些路径单独处理CORS，需要额外配置Servlet级别的CORS过滤器。

内容的提问来源于stack exchange，提问作者Abanoub