Spring Security v3集成Okta OAuth：/api/token放行仍返回401问题

核心问题：路径匹配不匹配 #

你配置里写的requestMatchers("/token").permitAll()，匹配的是根路径下的/token端点，但你的实际目标端点是/api/token，这条规则根本不会命中。后续的anyRequest().authenticated()会拦截所有未被前面规则匹配的请求，所以/api/token返回401。

修正后的完整配置 #

调整路径匹配规则，同时注意规则顺序（从上到下匹配，命中即停止），把放行规则放在认证规则前面：

@Configuration
@EnableWebSecurity(debug = true)
@EnableMethodSecurity(securedEnabled = true)
public class OktaSecurityConfiguration {

    // 可选：用数组统一管理放行路径，需确保路径正确
    private String[] permittedPaths = {"/api/token", "/error"};
    
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeRequests(auth -> auth
                        // 方式1：直接指定放行路径
                        // .requestMatchers("/api/token").permitAll()
                        // .requestMatchers("/error").permitAll()
                        
                        // 方式2：用统一数组管理，简化代码
                        .requestMatchers(permittedPaths).permitAll()
                        
                        // 所有/api下的子路径（除已放行的/api/token）需要认证
                        .requestMatchers("/api/**").authenticated()
                        // 其他所有请求强制认证
                        .anyRequest().authenticated()
                )
                .oauth2ResourceServer(oauth2 -> oauth2.jwt());
        
        Okta.configureResourceServer401ResponseBody(http);
        return http.build();
    }
}

关键注意事项 #

• 路径匹配精度：/api仅匹配/api精确路径，/api/**匹配所有以/api开头的子路径（包括/api/token、/api/user等），必须明确放行/api/token后，再对剩余/api/**路径要求认证。
• 规则顺序优先级：放行规则一定要放在认证规则前面，否则会被后续的authenticated()规则覆盖，导致放行失效。
• debug模式验证：你已经开启了debug = true，可以查看控制台输出的请求匹配日志，确认/api/token是否被正确匹配到放行规则。
• 无用代码清理：原代码里的Permitted数组未被使用，建议删除或修改后用上，避免冗余。

内容的提问来源于stack exchange，提问作者Jay Patel