Spring Security中/error路由设为permitAll是否安全？JWT认证问题排查

一、放行/error端点是否安全？ #

完全安全，无需担心。

Spring Boot默认的/error端点是内部错误处理的入口，仅当请求处理过程中抛出异常时才会触发内部转发，并非供外部客户端主动调用的业务端点：

• 外部客户端直接访问/error，即使放行，返回的也是通用错误信息，不会泄露敏感业务数据（只要你配置了合理的错误返回格式）
• 内部转发到/error的请求，本质是原请求的异常分支，放行该端点只是让错误响应能正常返回，不会引入权限绕过风险

二、问题根源：为什么会出现无JWT的POST /error请求？ #

你的JWT验证逻辑本身没有错误，问题出在Spring Boot的错误转发机制：

1. 原请求携带有效JWT，JwtTokenFilter成功生成UsernamePasswordAuthenticationToken并注入SecurityContext，请求进入业务处理流程
2. 若业务处理（如Controller、Service层）抛出异常，Spring Boot会自动将请求转发到/error端点生成错误响应
3. 但转发的请求不会携带原请求的HTTP Header（包括JWT令牌），导致JwtTokenFilter再次执行时无法识别认证信息，SecurityContext被替换为AnonymousAuthenticationToken
4. 由于你的配置未放行/error，因此触发401 Unauthorized错误

三、更优的解决方案（替代permitAll("/error")） #

虽然放行/error是安全的，但可以从根源上避免这个场景：

• 自定义ErrorController复用认证信息：实现ErrorController，在处理错误时直接从原请求的SecurityContext中获取认证信息，无需重新走JWT认证流程
• 过滤/error端点的JWT校验：在JwtTokenFilter中添加判断，如果请求路径是/error，直接放行不做认证检查
• 全局异常处理器拦截异常：用@RestControllerAdvice+@ExceptionHandler处理业务异常，直接返回错误响应，避免触发Spring Boot的默认错误转发

四、JWT验证逻辑的正确性确认 #

你的JWT验证逻辑是有效的（有效令牌能生成正确的认证对象），只需确保几个细节：

• JwtTokenFilter在doFilterInternal中，无JWT时不要清空SecurityContext，直接放行即可
• 生成的UsernamePasswordAuthenticationToken需设置authenticated = true，并正确存入SecurityContextHolder.getContext().setAuthentication(authToken)
• 过滤器顺序确实在AnonymousAuthenticationFilter之前，保证JWT认证优先于匿名认证

内容的提问来源于stack exchange，提问作者Yevhenii Terentiev