Spring Authorization Server问题：接口无Bearer头访问返回401求助

问题分析 #

你的配置逻辑上看似正确，但401响应说明请求仍被要求认证，大概率是路径匹配、规则细节或配置冲突导致的。

排查步骤与修复方案 #

1. 确认路径匹配准确性 #

• 检查应用是否设置了上下文路径（server.servlet.context-path），如果有，requestMatchers中的路径必须包含上下文路径。比如上下文路径为/payment，则路径需写成/payment/api/order/process/result。
• 确保代码中的POST是正确导入的org.springframework.http.HttpMethod.POST，避免因静态导入缺失导致方法匹配失效，可显式写出：

  .requestMatchers(HttpMethod.POST, "/api/order/process/result").permitAll()
  

2. 检查规则匹配顺序 #

虽然你当前的规则顺序正确（permitAll在anyRequest().authenticated()之前），但需注意Spring Security会按配置顺序匹配第一个符合的规则，后续添加新规则时也要保证放行规则优先于认证规则。

3. 排查多安全配置类冲突 #

如果项目中有多个标注@EnableWebSecurity的配置类，可能会覆盖当前配置。确保只有一个SecurityFilterChain Bean，或通过@Order注解明确配置优先级。

4. 开启调试日志定位问题 #

在application.yml中添加Spring Security调试日志，查看请求的匹配过程：

logging:
  level:
    org.springframework.security: DEBUG

重启应用后发送请求，查看日志中FilterChainProxy的输出，确认请求是否匹配到permitAll规则。若日志显示请求被匹配到anyRequest().authenticated()，则说明路径匹配存在错误。

5. 简化规则测试 #

暂时简化匹配规则，直接放行该路径的所有方法，验证是否能正常访问：

.authorizeHttpRequests(auth -> auth
        .requestMatchers("/api/order/process/result").permitAll()
        .anyRequest().authenticated()
)

若此配置能解决问题，说明之前的方法匹配逻辑存在问题，再针对性调整方法匹配规则。

验证修复 #

修改配置后重启应用，再次发送不带Authorization头的POST请求到/api/order/process/result，返回200则说明配置生效。

内容的提问来源于stack exchange，提问作者Felix Njenga