Spring Security登录时始终返回401未授权问题求助

核心问题：登录接口的权限规则搞反了 #

你把POST /api/v1/login接口设置为需要.authenticated()，这完全违背了登录逻辑——用户就是要通过这个接口完成认证，未登录状态下根本没有合法的认证凭证，自然会返回401。这个接口必须允许匿名访问。

具体修复步骤： #

1. 修正SecurityFilterChain的权限配置
   调整authorizeHttpRequests的规则，把登录接口设为允许所有访问，其他接口再要求认证（顺序很重要，Spring Security会按从上到下的顺序匹配规则）：

   http.authorizeHttpRequests()
       .requestMatchers(HttpMethod.POST, "/api/v1/login").permitAll()
       .anyRequest().authenticated();
   

2. 完善BasicAuthenticationEntryPoint配置
   你实例化了BasicAuthenticationEntryPoint但未设置realmName，这会导致认证流程异常，需要补充设置：

   BasicAuthenticationEntryPoint entryPoint = new BasicAuthenticationEntryPoint();
   entryPoint.setRealmName("ApplicationRealm"); // 替换成你的业务标识名称
   http.httpBasic().authenticationEntryPoint(entryPoint);
   

3. 优化认证管理器的配置（Spring Security 5.7+规范写法）
   你当前重写configure(AuthenticationManagerBuilder)的方式在新版本中已不推荐，建议直接通过Bean注册来完成配置：

   • 确保AuthUserService类上标注了@Service注解，让Spring能识别为Bean
   • 移除protected void configure(AuthenticationManagerBuilder auth)方法，Spring会自动关联UserDetailsService和PasswordEncoder的Bean

4. 确认自定义登录接口的逻辑（如果是自定义登录）
   如果/api/v1/login是你自己写的登录接口，需要手动调用AuthenticationManager完成认证，示例代码如下：

   @RestController
   public class LoginController {
       private final AuthenticationManager authenticationManager;
   
       public LoginController(AuthenticationManager authenticationManager) {
           this.authenticationManager = authenticationManager;
       }
   
       @PostMapping("/api/v1/login")
       public ResponseEntity<?> login(@RequestBody LoginRequest request) {
           // 执行认证逻辑
           Authentication authentication = authenticationManager.authenticate(
               new UsernamePasswordAuthenticationToken(request.getUsername(), request.getPassword())
           );
           SecurityContextHolder.getContext().setAuthentication(authentication);
           // 这里可以生成返回token或用户信息
           return ResponseEntity.ok("登录成功");
       }
   }
   

   同时需要在Security配置类中添加AuthenticationManager的Bean：

   @Bean
   public AuthenticationManager authenticationManager(AuthenticationConfiguration config) throws Exception {
       return config.getAuthenticationManager();
   }
   

内容的提问来源于stack exchange，提问作者Callan George