Spring Boot 3.0集成Spring Security+JWT遇401未授权问题求助

核心排查步骤 #

1. 先验证开放接口是否真的被放行 #

首先测试POST /auth/register或POST /auth/authenticate，不带任何Token：

• 如果返回401，说明Security的路径匹配逻辑存在问题：
  • 检查控制器@RequestMapping("/auth")是否拼写正确，无额外路径前缀（如WebMvc配置的全局前缀）。
  • 在SecurityConfiguration中明确指定请求方法，避免匹配歧义：

    .requestMatchers(HttpMethod.POST, "/auth/register", "/auth/authenticate").permitAll()
    

  • 排查是否有CORS过滤器干扰：Spring Boot 3.0中需确保CORS配置优先于Security生效，可添加CORS配置Bean：

    @Bean
    public CorsFilter corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration config = new CorsConfiguration();
        config.setAllowCredentials(true);
        config.addAllowedOriginPattern("*");
        config.addAllowedHeader("*");
        config.addAllowedMethod("*");
        source.registerCorsConfiguration("/**", config);
        return new CorsFilter(source);
    }
    

2. 排查JWT认证链路问题 #

如果开放接口正常，但带Token请求受保护接口仍返回401，按以下步骤排查：

• 请求头格式验证：确认Authorization头严格遵循Bearer <token>格式（Bearer后必须有空格）。
• JWT生成与验证一致性：检查JwtService的核心逻辑：
  • 生成Token和验证Token使用的签名密钥必须完全一致，避免硬编码错误或密钥编码问题。
  • 验证extractUsername方法是否正确解析Token的Subject（或自定义用户名Claim）。
  • isTokenValid方法需同时验证用户名匹配和Token未过期：

    public boolean isTokenValid(String token, UserDetails userDetails) {
        final String username = extractUsername(token);
        return username.equals(userDetails.getUsername()) && !isTokenExpired(token);
    }
    

• 添加日志定位故障点：在JwtAuthenticationFilter中添加日志，跟踪每一步执行情况：

  @Override
  protected void doFilterInternal(
      @NonNull HttpServletRequest request,
      @NonNull HttpServletResponse response,
      @NonNull FilterChain filterChain
  ) throws ServletException, IOException {
      final String authHeader = request.getHeader("Authorization");
      if (authHeader == null || !authHeader.startsWith("Bearer ")) {
          filterChain.doFilter(request, response);
          return;
      }
      String jwt = authHeader.substring(7);
      String userEmail = jwtService.extractUsername(jwt);
      if (userEmail != null && SecurityContextHolder.getContext().getAuthentication() == null) {
          try {
              UserDetails userDetails = userDetailsService.loadUserByUsername(userEmail);
              if (jwtService.isTokenValid(jwt, userDetails)) {
                  UsernamePasswordAuthenticationToken authToken = new UsernamePasswordAuthenticationToken(
                      userDetails, null, userDetails.getAuthorities()
                  );
                  authToken.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
                  SecurityContextHolder.getContext().setAuthentication(authToken);
              }
          } catch (UsernameNotFoundException e) {
              // 日志记录用户不存在
          }
      }
      filterChain.doFilter(request, response);
  }
  

3. 确保UserDetails与权限配置正确 #

• 注册用户时，必须用BCryptPasswordEncoder加密密码：

  // AuthenticationService.register方法
  user.setPassword(passwordEncoder.encode(request.getPassword()));
  

• 为用户添加角色权限，满足后续角色控制需求：

  user.setAuthorities(Collections.singletonList(new SimpleGrantedAuthority("ROLE_USER")));
  

角色权限控制补充配置 #

若需基于角色限制接口访问，修改SecurityConfiguration的授权规则：

.authorizeHttpRequests()
.requestMatchers(HttpMethod.POST, "/auth/**").permitAll()
.requestMatchers("/admin/**").hasRole("ADMIN")
.requestMatchers("/user/**").hasAnyRole("USER", "ADMIN")
.anyRequest().authenticated()

内容的提问来源于stack exchange，提问作者canguness