Spring Security过滤器链异常：GET/POST认证共存时请求失败排查

• 核心问题出在单过滤器链中混合了两个认证过滤器：所有请求会依次经过链中所有过滤器，第一个过滤器会尝试对所有请求执行认证逻辑——哪怕请求不属于它的处理范围。一旦认证失败，会直接返回401/403，不会让后续过滤器处理对应请求。
• 举个例子：FilterA在前时，POST请求先经过FilterA，但FilterA的认证逻辑不匹配POST请求，认证失败直接返回401；交换顺序后，GET请求先经过FilterB，同样因认证逻辑不匹配返回403。而单独使用时，过滤器只处理对应请求，不会出现交叉认证失败的情况。

创建多条独立的过滤器链，每条链仅对应特定路径的请求，配置专属的认证过滤器和规则，避免过滤器交叉干扰。修改后的代码如下：

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(securedEnabled = true)
public class SecurityConfig {

    // 处理GET请求的专属过滤器链
    @Configuration
    @Order(1)
    public static class GetRequestSecurityConfig extends WebSecurityConfigurerAdapter {
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            FilterA filtera = new FilterA();
            filtera.setCheckForPrincipalChanges(true);
            filtera.setAuthenticationManager(customBAuthenticationManager());

            http
                .mvcMatcher("/getrequest/**")
                .csrf().disable()
                .sessionManagement()
                    .maximumSessions(1)
                    .and()
                .addFilter(filtera)
                .authorizeRequests()
                    .anyRequest().authenticated()
                .and()
                .headers().frameOptions().disable();
        }

        @Bean
        public AuthenticationManager customBAuthenticationManager() {
            // 此处返回你的自定义AuthenticationManager实现
            return new CustomBAuthenticationManager();
        }
    }

    // 处理POST请求的专属过滤器链
    @Configuration
    @Order(2)
    public static class PostRequestSecurityConfig extends WebSecurityConfigurerAdapter {
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            FilterB filterb = new FilterB();
            filterb.setCheckForPrincipalChanges(true);
            filterb.setAuthenticationManager(authenticationManager());

            http
                .mvcMatcher("/postrequest/**")
                .csrf().disable()
                .sessionManagement()
                    .maximumSessions(1)
                    .and()
                .addFilter(filterb)
                .authenticationProvider(customAuthProvider())
                .authorizeRequests()
                    .anyRequest().authenticated()
                .and()
                .headers().frameOptions().disable();
        }

        @Bean
        public CustomAuthProvider customAuthProvider() {
            // 此处返回你的自定义AuthenticationProvider实现（包含UserDetailsService）
            return new CustomAuthProvider();
        }
    }

    // 处理开放请求的过滤器链
    @Configuration
    @Order(3)
    public static class OpenRequestSecurityConfig extends WebSecurityConfigurerAdapter {
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                .mvcMatcher("/different-open-request/**")
                .csrf().disable()
                .authorizeRequests()
                    .anyRequest().permitAll()
                .and()
                .headers().frameOptions().disable();
        }
    }
}

• 用@Order指定过滤器链执行优先级，数字越小越先执行，确保特定路径的请求先进入对应链处理。
• 每条链通过mvcMatcher限定处理路径，无关请求不会进入错误的认证流程。
• 每条链独立配置认证过滤器、AuthenticationManager/Provider和授权规则，完全隔离互不干扰。
• 移除原配置中的httpBasic()，因为自定义过滤器已覆盖认证逻辑，无需默认HTTP Basic认证。

内容的提问来源于stack exchange，提问作者Ranjini Varadharajan