SecurityFilterChain初始化加载但HTTP请求时被忽略问题求助

1. 修正自定义Filter的注册方式 #

你直接通过new创建JWTTokenGeneratorFilter和JWTTokenValidatorFilter实例的方式，会导致Spring无法管理这些Filter的生命周期——如果Filter内部依赖了其他Spring Bean（比如@Autowired注入的组件），会出现依赖注入失败，Filter无法正常工作，最终表现为请求似乎没经过SecurityFilterChain。

解决办法：

• 在自定义Filter类上添加@Component注解，将其注册为Spring Bean；
• 修改配置类中的Filter添加逻辑，通过注入Bean而非直接new实例：

  @Bean
  SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http, JWTTokenGeneratorFilter jwtGeneratorFilter, JWTTokenValidatorFilter jwtValidatorFilter) throws Exception{
      // ... 保留原有配置
      .addFilterAfter(jwtGeneratorFilter, BasicAuthenticationFilter.class)
      .addFilterBefore(jwtValidatorFilter, BasicAuthenticationFilter.class)
      // ... 保留原有配置
  }
  

2. 移除不必要的SecurityAutoConfiguration排除配置 #

使用@EnableWebSecurity注解时，Spring Boot会自动禁用SecurityAutoConfiguration，手动添加exclude = { SecurityAutoConfiguration.class }反而可能打乱Spring Security的初始化流程，影响FilterChain的正常生效。

解决办法：

• 删除@SpringBootApplication注解中的exclude参数，仅保留配置类上的@EnableWebSecurity即可。

3. 验证请求路径匹配规则 #

检查你配置的antMatchers路径（如"api/login"、"api/registration/**"）是否与控制器的实际请求路径完全匹配（比如控制器的@RequestMapping是否为"/api/login"而非"/login"）。建议统一使用以斜杠开头的路径（如"/api/login"），避免潜在的匹配歧义。

4. 确保当前SecurityFilterChain的优先级 #

如果项目中存在多个SecurityFilterChain Bean，Spring会根据@Order注解的数值确定执行优先级（数值越小优先级越高）。若你的Bean未指定@Order，默认优先级最低，可能被其他FilterChain拦截。

解决办法：

• 在ProjectSecurityConfig类或defaultSecurityFilterChain方法上添加@Order(1)注解，确保它的优先级高于其他可能存在的FilterChain（默认SecurityFilterChain优先级为100）。

5. 检查自定义Filter的逻辑完整性 #

确认你的自定义Filter正确实现了Filter接口的doFilter方法，并且没有遗漏调用filterChain.doFilter(request, response)——如果跳过这一步，请求会被直接截断，无法流向后续过滤器和控制器。

示例正确的Filter实现：

@Component
public class JWTTokenValidatorFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        // 你的JWT验证逻辑
        // 必须调用此方法，请求才能继续流转
        chain.doFilter(request, response);
    }
}

6. 开启调试日志定位问题 #

添加日志配置，查看请求处理过程中SecurityFilterChain的执行细节：
在application.properties中添加：

logging.level.org.springframework.security=DEBUG

启动应用后，观察日志中是否有你的FilterChain加载、请求进入该FilterChain的相关记录，进一步定位问题节点。

内容的提问来源于stack exchange，提问作者Tomás Uriel Martinez Perez