Spring Boot3注册接口免认证配置无效，返回401 Unauthorized求助

核心问题分析 #

Spring Security 6.x 对授权规则的匹配逻辑和配置语法有较大改动，你的问题大概率是授权规则顺序错误或请求方法未明确指定导致的——GET请求能正常匿名访问是因为全局配置覆盖了GET，但POST的/registration接口没被正确放行。

常见错误点与修复方案 #

1. 授权规则顺序问题 #

Spring Security 会按配置的先后顺序匹配规则，如果/registration的放行规则写在了需要认证的规则之后，会被后者完全覆盖。

错误示例（顺序颠倒，导致放行规则失效）：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .anyRequest().authenticated() // 先匹配所有请求需认证
            .requestMatchers("/registration").permitAll() // 此规则永远不会触发
        )
        .formLogin(form -> form.permitAll());
    return http.build();
}

正确配置（先放行特定接口，再设置全局认证规则）：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers(HttpMethod.POST, "/registration").permitAll() // 明确放行POST类型的/registration
            .anyRequest().authenticated() // 其余所有请求需认证
        )
        .formLogin(form -> form.permitAll());
    return http.build();
}

2. 未明确指定请求方法 #

如果你的注册接口是POST请求，但配置里只写了requestMatchers("/registration").permitAll()，可能会被其他针对POST的拦截规则覆盖。必须明确指定HttpMethod.POST，避免规则歧义。

3. 控制器请求映射匹配校验 #

确认控制器的@PostMapping路径是否和Security配置完全一致：

• 检查是否有全局路径前缀（如控制器上加了@RequestMapping("/api")，实际接口路径为/api/registration）
• 排查路径拼写错误（大小写、斜杠等）

示例正确控制器：

@RestController
public class RegistrationController {
    @PostMapping("/registration") // 路径必须与Security配置完全匹配
    public ResponseEntity<String> register(@RequestBody UserDto user) {
        // 注册逻辑实现
        return ResponseEntity.ok("注册成功");
    }
}

4. CSRF防护干扰（可能性较低） #

若请求未携带CSRF令牌，Spring Security默认会拦截POST请求，但通常返回403 Forbidden而非401 Unauthorized。可临时关闭CSRF测试（生产环境需谨慎）：

http.csrf(csrf -> csrf.disable());

调试日志辅助排查 #

查看调试日志，重点关注请求匹配规则的日志条目，确认哪个规则命中了/registration请求：

o.s.s.w.a.AnonymousAuthenticationFilter  : Set SecurityContextHolder to anonymous SecurityContext
o.s.s.w.s.HttpSessionRequestCache        : Saved request http://localhost:8080/registration to session
o.s.s.w.a.ExceptionTranslationFilter     : Authentication exception occurred; redirecting to authentication entry point
org.springframework.security.authentication.InsufficientAuthenticationException: Full authentication is required to access this resource

如果日志显示anyRequest().authenticated()匹配到了请求，说明你的放行规则顺序或路径存在错误。

内容的提问来源于stack exchange，提问作者EarWarm