Spring Cloud Gateway集成Spring Security后401未授权问题排查

可能的原因及修复方式 #

1. 检查是否引入了自动启用认证的依赖 #

如果你的pom.xml（或build.gradle）中包含了spring-boot-starter-oauth2-resource-server这类额外安全依赖，Spring会自动配置认证过滤器，即便配置了permitAll也会触发401响应。

修复：移除不必要的安全依赖，或显式禁用相关自动配置：

@SpringBootApplication(exclude = {OAuth2ResourceServerAutoConfiguration.class})

2. 显式禁用所有默认认证机制 #

你的配置仅放开了权限控制，但默认的认证过滤器（如Basic Auth）可能仍在生效，需要显式关闭所有认证入口：

@Configuration
@EnableWebFluxSecurity
class SecurityConfiguration {

    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity serverHttpSecurity) {
        return serverHttpSecurity
                .authorizeExchange(exchanges -> exchanges
                        .anyExchange().permitAll())
                .csrf(csrf -> csrf.disable())
                .httpBasic(httpBasic -> httpBasic.disable()) // 禁用Basic Auth认证
                .formLogin(formLogin -> formLogin.disable()) // 禁用表单登录认证
                .oauth2ResourceServer(oauth2 -> oauth2.disable()) // 若引入OAuth2依赖，显式禁用
                .build();
    }
}

3. 检查是否存在冲突的Security配置类 #

若项目中存在多个标注@Configuration+@EnableWebFluxSecurity（或@EnableWebSecurity）的配置类，会导致规则冲突，优先生效的配置可能限制了请求。

修复：确保项目中仅保留一个Security配置类，或通过@Order注解指定配置优先级。

4. 验证路由与Security规则的匹配性 #

虽然配置了anyExchange()覆盖所有路径，但可通过日志确认请求是否被正确拦截。在application.yml中开启Spring Security调试日志：

logging:
  level:
    org.springframework.security: DEBUG

查看日志中请求的拦截链路，确认是否有未禁用的过滤器触发了401。

内容的提问来源于stack exchange，提问作者drapo