Spring Boot 3.0.0授权配置无法放行注册登录API问题

你的问题核心是配置的白名单路径未生效，注册、登录请求仍被要求Basic认证并返回401。结合Spring Boot 3.0.0的Security配置逻辑，以下是排查和修复步骤：

1. 明确指定请求方法 #

注册、登录接口通常为POST请求，当前配置未限定请求方法，可能导致匹配范围模糊。修改requestMatchers明确指定请求方法：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {

    http.authorizeHttpRequests(authorize -> authorize
            // 仅匹配POST请求的白名单路径
            .requestMatchers(HttpMethod.POST, "/api/auth/user-register", "/api/auth/login").permitAll()
            .requestMatchers("/api/user/album/**", "/api/user/track/**", "/api/user/comment/**").hasAnyAuthority(UserLoginRole.USER.value())
            .requestMatchers("/api/test/all/**").hasAnyAuthority(UserLoginRole.SUPER_ADMIN.value())
            .requestMatchers("/api/admin/comment/**").hasAnyAuthority(UserLoginRole.ADMIN.value())
            .anyRequest().authenticated()
    );

    http.cors().and().csrf().disable();
    http.formLogin().disable();
    http.httpBasic().realmName(REALM).authenticationEntryPoint(getBasicAuthEntryPoint());
    http.authenticationProvider(authenticationProvider());
    return http.build();
}

注：已移除重复的/api/user/comment/**规则，避免规则冲突

2. 验证路径匹配准确性 #

• 检查请求路径是否与配置完全一致：若应用带有上下文路径（如部署在/myapp下），实际请求路径应为/myapp/api/auth/user-register，需同步调整配置路径，或在application.properties中设置server.servlet.context-path=清空上下文路径。
• 确认路径末尾斜杠一致性：Spring Boot默认忽略路径末尾斜杠，但若手动修改了路径匹配策略（如spring.mvc.pathmatch.matching-strategy=PATH_PATTERN_PARSER），需保证请求路径与配置的斜杠完全匹配。

3. 排查自定义认证入口点 #

确保getBasicAuthEntryPoint()是标准的Basic认证实现，避免自定义逻辑干扰permitAll路径：

private BasicAuthenticationEntryPoint getBasicAuthEntryPoint() {
    BasicAuthenticationEntryPoint entryPoint = new BasicAuthenticationEntryPoint();
    entryPoint.setRealmName(REALM);
    return entryPoint;
}

若为自定义EntryPoint，需保证它仅在请求需要认证时触发，不会拦截已配置permitAll的路径。

4. 开启调试日志定位问题 #

在application.properties中添加日志配置，查看Spring Security的路径匹配与认证流程：

logging.level.org.springframework.security=DEBUG

通过日志可确认请求路径是否被正确匹配到permitAll规则，以及认证过滤器的执行细节，快速定位卡点。

内容的提问来源于stack exchange，提问作者Aung P