Spring Boot 3 Security中requestMatchers.permitAll失效问题咨询

这种情况绝对不正常，核心问题出在过滤器注册方式、Security规则顺序或路径匹配逻辑上，以下是具体排查点和解决方法：

1. 检查过滤器注册方式（最常见原因） #

如果你的SecurityFilter是通过单独的@Bean或FilterRegistrationBean注册的，它会成为全局过滤器，不受Spring Security的requestMatchers规则控制，自然会拦截所有请求。

错误注册方式： #

// 错误：这个过滤器会全局生效，绕过Security规则
@Bean
public SecurityFilter securityFilter() {
    return new SecurityFilter();
}

正确注册方式： #

将过滤器注册到SecurityFilterChain中，让Spring Security统一管理拦截规则：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/generate/**", "/validated/**").permitAll()
            .anyRequest().authenticated()
        )
        // 将过滤器添加到Security链中，而非全局注册
        .addFilterBefore(new SecurityFilter(), UsernamePasswordAuthenticationFilter.class);
    
    return http.build();
}

同时删除SecurityFilter类上的@Component或单独的@Bean注解，避免重复注册。

2. 确认规则匹配顺序 #

Spring Security的authorizeHttpRequests规则是从上到下匹配，匹配即停止。如果permitAll规则放在anyRequest().authenticated()之后，会被完全忽略。

错误顺序： #

.authorizeHttpRequests(auth -> auth
    .anyRequest().authenticated() // 先匹配所有请求，permitAll永远不会生效
    .requestMatchers("/generate/**", "/validated/**").permitAll()
)

正确顺序： #

先放行公开接口，再约束其他请求：

.authorizeHttpRequests(auth -> auth
    .requestMatchers("/generate/**", "/validated/**").permitAll()
    .anyRequest().authenticated()
)

3. 验证路径匹配规则 #

检查requestMatchers的路径是否符合Ant语法：

• /generate/**会匹配/generate、/generate/abc、/generate/abc/def等所有子路径
• 如果你的公开接口是精确路径（比如仅/generate），可以补充精确匹配：

  .requestMatchers("/generate", "/generate/**", "/validated", "/validated/**").permitAll()
  

4. 检查过滤器内部逻辑 #

如果过滤器本身强制校验所有请求，会绕过Spring Security的认证结果。可以在doFilterInternal中先判断当前请求是否已被允许（比如匿名认证）：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    // 已认证（包括permitAll对应的匿名认证）则直接放行
    if (auth != null && auth.isAuthenticated()) {
        filterChain.doFilter(request, response);
        return;
    }
    // 未认证才执行JWT校验逻辑
    // ... 你的JWT校验代码
}

内容的提问来源于stack exchange，提问作者Forece85