CentOS下Spring项目curl访问localhost:8080返回401，JWT鉴权问题求助

1. 确认Security配置是否真正生效 #

• 检查配置类的扫描有效性：确保你的Security配置类添加了@Configuration和@EnableWebSecurity注解，且所在包在@SpringBootApplication的扫描范围内。Linux环境下偶尔会出现包扫描路径不对，导致配置未加载，最终使用默认的安全规则。
• 排查多配置类冲突：如果项目里存在多个Security配置实现（比如多个WebSecurityConfigurerAdapter或SecurityFilterChain Bean），可能因优先级问题导致你的permitAll规则被覆盖。可以给目标配置类添加@Order(1)注解提升优先级，或者移除多余的配置类。

2. 对比本地与Linux的请求差异 #

• 模拟Chrome请求头测试：本地Chrome访问时可能自动携带了认证Cookie或JWT头，而curl请求没有。你可以复制Chrome的请求头（F12→网络→复制请求头），用curl模拟：

  curl -H "Cookie: 你的Chrome请求Cookie" -H "User-Agent: Mozilla/5.0..." http://localhost:8080
  

  如果能正常访问，说明可能是某些请求头缺失触发了额外校验（比如CSRF）。
• 临时关闭CSRF验证：Spring Security默认开启CSRF防护，部分场景下即使是GET请求也可能触发拦截。可以临时关闭测试：

  // Spring Security 5.7之前的写法
  @Override
  protected void configure(HttpSecurity http) throws Exception {
      http.csrf().disable()
          .authorizeRequests()
          .antMatchers("/**").permitAll();
  }
  
  // Spring Security 5.7+的Lambda写法
  @Bean
  public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
      http.csrf(csrf -> csrf.disable())
          .authorizeHttpRequests(auth -> auth.anyRequest().permitAll());
      return http.build();
  }
  

3. 核对环境配置差异 #

• 检查配置文件一致性：确认Linux环境的application-prod.yml（或对应环境配置）和本地的application-dev.yml是否一致，尤其是Security、JWT相关的配置项（比如密钥、认证开关）。生产环境可能默认启用了更严格的安全规则，覆盖了你的自定义配置。
• 验证JWT配置加载：如果项目依赖JWT，检查Linux环境下是否正确加载了密钥、过期时间等配置（比如环境变量是否设置、配置文件占位符是否替换）。即使设置了permitAll，若JWT过滤器初始化失败，可能会抛出异常导致请求被拦截。

4. 开启DEBUG日志定位问题 #

• 在Linux环境的配置文件中添加日志配置，开启Spring Security的DEBUG级别日志：

  logging.level.org.springframework.security=DEBUG
  

  重启项目后执行curl请求，查看日志中Security过滤器链的执行流程，确认是哪个过滤器返回了401，以及你的permitAll规则是否被正确应用。

5. 排查容器部署层面的拦截 #

• 如果是war包部署到Tomcat，检查Tomcat的server.xml或context.xml是否配置了自带的Realm认证，导致请求在到达Spring Security之前就被拦截。
• 确认项目启动状态：查看启动日志，确保Security相关的Bean都正常初始化，没有加载失败的情况。若Bean初始化异常，Spring会使用默认的安全配置拦截所有请求。

内容的提问来源于stack exchange，提问作者eungyu