SpringBoot无法关闭SecurityConfig，WebSocket测试遇401问题求助

我来帮你梳理下问题和解决方案——你遇到的情况其实是对@SpringBootApplication的exclude属性用法有误解，再加上自定义安全配置的加载逻辑导致的，下面给你几个可行的方案：

为什么你当前的exclude配置没生效？ #

首先要明确：@SpringBootApplication的exclude属性只用来排除Spring官方的自动配置类（比如SecurityAutoConfiguration），而你自己写的SecurityConfig是自定义的@Configuration类，这个属性对它完全不起作用。这就是为什么你加了exclude后，安全验证依然生效的原因。

方案1：临时完全关闭安全配置（仅测试用） #

如果你只是想在测试WebSocket时彻底关掉所有安全验证，可以通过两种方式实现：

方式A：排除Spring默认的安全自动配置 #

修改你的启动类，排除Spring自带的安全自动配置类：

@SpringBootApplication(exclude = {
    SecurityAutoConfiguration.class,
    UserDetailsServiceAutoConfiguration.class
})
public class MyApp {
    public static void main(String[] args) {
        SpringApplication.run(MyApp.class, args);
    }
}

这样整个应用的所有请求（包括REST和WebSocket）都会跳过安全验证，适合快速测试，但生产环境绝对不能这么用。

方式B：用Profile控制自定义SecurityConfig的加载 #

给你的自定义SecurityConfig加上Profile注解，让它只在非测试环境生效：

@Configuration
@Profile("!test") // 只有当激活的profile不是test时，这个配置才会加载
public class SecurityConfig {
    // 你的JWT授权配置代码...
}

然后启动测试时，激活test profile：

• 命令行方式：java -jar your-app.jar --spring.profiles.active=test
• 或者在application-test.yml中配置：

spring:
  profiles:
    active: test

方案2：仅放开WebSocket端点（推荐，不影响REST接口安全） #

如果不想关闭整个应用的安全验证，只需要让WebSocket的请求绕过授权，这是更合理的做法。你需要在SecurityConfig中添加对WebSocket路径的放行规则：

针对Spring Security 5.x版本 #

重写configure(WebSecurity web)方法，忽略WebSocket路径的安全验证：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    // 其他JWT配置...

    @Override
    public void configure(WebSecurity web) throws Exception {
        // 替换成你的WebSocket实际端点路径，比如/ws/**、/stomp/**等
        web.ignoring().antMatchers("/your-websocket-path/**");
    }
}

针对Spring Security 6+版本 #

使用SecurityFilterChain配置方式，给WebSocket路径设置permitAll：

@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                // 放行WebSocket端点
                .requestMatchers("/your-websocket-path/**").permitAll()
                // 其他REST接口保持原有的JWT验证逻辑
                .anyRequest().authenticated()
            )
            // 你的JWT相关配置（比如JWT过滤器、OAuth2资源服务器配置）
            .addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
        
        return http.build();
    }

    // 其他JWT相关Bean...
}

补充：STOMP协议的特殊处理 #

如果你的WebSocket用了STOMP协议，除了放行端点路径（比如/ws），还需要放行SockJS的相关路径：

web.ignoring().antMatchers("/ws/**", "/info", "/info/**");

内容的提问来源于stack exchange，提问作者Ernesto