配置BCryptPasswordEncoder后Restful API返回401错误求助

核心问题 #

你的所有请求返回401，是因为Spring Security认证时用的密码编码器，和你保存用户时加密密码的编码器不匹配——你只定义了BCryptPasswordEncoder的Bean，但没把它配置到认证流程里，导致Security默认用不加密的校验逻辑，和你存的BCrypt加密密码匹配失败。

具体问题点 #

1. 服务层代码冗余：
   你在服务层同时写了@Autowired和new BCryptPasswordEncoder()初始化编码器，虽然Spring最终会注入容器里的Bean，但这种写法完全多余，还容易造成混淆。

2. Security配置缺失关键关联：
   你只在SecurityConfig里定义了BCryptPasswordEncoder的Bean，但没把它绑定到认证提供者或SecurityFilterChain中，Security默认会用NoOpPasswordEncoder（不做加密校验），自然和加密后的密码对不上，返回401。

修复步骤 #

1. 修正服务层的编码器注入 #

删掉多余的new BCryptPasswordEncoder()，推荐用构造注入（符合Spring最佳实践）：

// 构造注入（推荐）
private final BCryptPasswordEncoder passwordEncoder;

public YourUserService(BCryptPasswordEncoder passwordEncoder) {
    this.passwordEncoder = passwordEncoder;
}

// 或者简化的字段注入（如果不想改构造）
@Autowired
private BCryptPasswordEncoder passwordEncoder;

2. 在Security配置中关联密码编码器 #

必须把你定义的BCryptPasswordEncoder配置到认证流程里，以下是两种常用写法：

写法1：Spring Security 6+ 配置SecurityFilterChain

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            // 这里配置你的接口权限规则
            .anyRequest().authenticated()
        )
        .formLogin(form -> form
            // 配置登录相关的路径、页面等
        )
        .userDetailsService(yourUserDetailsService) // 替换成你的UserDetailsService实现
        .passwordEncoder(passwordEncoder()); // 绑定BCrypt编码器
    return http.build();
}

@Bean
public BCryptPasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder(10);
}

写法2：配置DaoAuthenticationProvider

@Bean
public DaoAuthenticationProvider authenticationProvider() {
    DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
    authProvider.setUserDetailsService(yourUserDetailsService);
    authProvider.setPasswordEncoder(passwordEncoder()); // 绑定编码器
    return authProvider;
}

@Bean
public AuthenticationManager authenticationManager(AuthenticationConfiguration authConfig) throws Exception {
    return authConfig.getAuthenticationManager();
}

@Bean
public BCryptPasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder(10);
}

3. 验证基础逻辑 #

确保你的UserDetailsService实现中，返回的UserDetails对象的密码是数据库里保存的BCrypt加密字符串，Security会自动用你配置的编码器做匹配校验。

额外提醒 #

• 别同时用@Autowired和手动new同一个Bean，避免混淆容器管理的实例和手动创建的实例。
• 你设置的BCrypt加密强度（10）是合理值，无需调整，除非有特殊性能需求。

内容的提问来源于stack exchange，提问作者NqanVo