Spring WebFlux Security中permitAll端点返回401问题求助

以下是几种可行的解决方案，按优先级排序：

1. 将Swagger相关端点从Security过滤器链中排除 #

直接让这些端点跳过所有Security过滤器（包括OAuth2认证），是最直接的解决方式：

修改你的SecurityConfig：

@EnableWebFluxSecurity
@EnableReactiveMethodSecurity
class SecurityConfig {

    @Bean
    fun securityWebFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
        http {
            csrf { disable() }
            // 忽略指定路径，不经过Security处理
            ignore {
                pathMatchers(
                    "/actuator/health/**",
                    "/docs/**",
                    "/webjars/swagger-ui/**",
                    "/v3/api-docs",
                    "/v3/api-docs/**"
                )
            }
            authorizeExchange {
                authorize(anyExchange, authenticated)
            }
            oauth2ResourceServer { jwt { } }
        }

        return http.build()
    }
}

2. 修正路径匹配规则（如果不想完全跳过Security） #

如果需要保留部分Security逻辑，可确保路径匹配规则覆盖所有Swagger相关请求：

@EnableWebFluxSecurity
@EnableReactiveMethodSecurity
class SecurityConfig {

    @Bean
    fun securityWebFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
        http {
            csrf { disable() }
            authorizeExchange {
                // 用pathMatchers批量匹配，确保覆盖所有子路径
                authorize(pathMatchers("/actuator/health/**"), permitAll)
                authorize(pathMatchers("/docs/**"), permitAll)
                authorize(pathMatchers("/webjars/swagger-ui/**"), permitAll)
                authorize(pathMatchers("/v3/api-docs/**"), permitAll)
                
                authorize(anyExchange, authenticated)
            }
            oauth2ResourceServer { jwt { } }
        }

        return http.build()
    }
}

注意：如果/docs是Swagger UI的自定义入口（比如配置了springdoc.swagger-ui.path=/docs），必须用/docs/**匹配所有子路径请求，否则仅访问/docs会允许，但跳转后的静态资源请求会被拦截。

3. 检查SpringDoc配置与依赖兼容性 #

• 确保application配置中启用了Swagger：

  springdoc.api-docs.enabled=true
  springdoc.swagger-ui.enabled=true
  # 若自定义了路径，需和Security中的规则匹配一致
  # springdoc.swagger-ui.path=/docs
  

• 移除build.gradle中重复的spring-boot-starter-security依赖，避免潜在冲突：

  // 删除其中一个重复的依赖项
  implementation 'org.springframework.boot:spring-boot-starter-security'
  

问题根源分析 #

• 路径匹配不完整：仅配置/docs而未覆盖/docs/**，导致Swagger UI加载静态资源时被拦截
• 过滤器顺序问题：OAuth2资源服务器的认证过滤器可能在授权规则之前执行，未匹配到permitAll规则就触发了认证检查（通过ignore可彻底规避此问题）
• 依赖冲突：重复的Security依赖可能导致过滤器链加载异常

内容的提问来源于stack exchange，提问作者Cameron Mukherjee