Spring Boot OAuth2中为特定端点禁用安全验证的解决方案

针对你遇到的所有API都要求认证的问题，下面给出几种可行的配置方案，以及需要注意的坑点：

一、正确使用HttpSecurity配置permitAll（推荐） #

核心是规则顺序：必须先定义免认证的URL规则，再设置全局认证要求，否则免认证规则会被覆盖。

示例代码：

import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                // 配置需要放行的API，支持Ant风格路径匹配
                .antMatchers("/public/**", "/actuator/health", "/openapi.json").permitAll()
                // 其余所有API必须经过认证
                .anyRequest().authenticated()
            .and()
                // 启用OAuth2资源服务器的JWT认证
                .oauth2ResourceServer()
                .jwt();
    }
}

注意事项： #

• URL匹配要精准：比如/public/**匹配/public下所有子路径，/public仅匹配精确路径，根据你的实际API路径调整。
• 配置类要被Spring扫描：确保带@EnableWebSecurity的配置类和Spring Boot启动类在同一包或子包下，或者通过@ComponentScan指定扫描路径。

二、使用WebSecurity忽略指定路径 #

这个方式会让请求完全跳过Spring Security的过滤器链，适合完全不需要任何安全校验的接口（比如健康检查、静态资源）。

示例代码：

@Override
public void configure(WebSecurity web) throws Exception {
    web.ignoring()
        .antMatchers("/public/**", "/health-check");
}

注意事项： #

• 用这个方式的接口不会经过任何安全处理（包括CSRF防护），如果你的接口需要其他安全校验但仅不需要OAuth2认证，不要用这个，改用第一种方案。

三、排查常见失效原因 #

1. 规则顺序错误：如果先写anyRequest().authenticated()再写permitAll，免认证规则会被覆盖，所有请求都会要求认证。
2. URL路径不匹配：检查你的API实际路径和配置的路径是否一致，比如API是/api/public/hello，但配置的是/public/**，就不会匹配。
3. 依赖版本冲突：Spring Boot 2.2.4对应的Spring Security版本是5.2.x，确保你的spring-security-oauth2-resource-server等依赖和Spring Boot版本兼容，不要手动指定冲突版本。
4. 配置类未生效：检查配置类是否被Spring正确加载，比如有没有被@Configuration或@EnableWebSecurity注解标记。

四、进阶：自定义规则匹配（复杂场景） #

如果需要更灵活的免认证规则（比如根据请求Header、参数判断），可以自定义RequestMatcher：

import org.springframework.security.web.util.matcher.RequestMatcher;
import javax.servlet.http.HttpServletRequest;
import org.springframework.util.AntPathMatcher;

public class PublicApiMatcher implements RequestMatcher {
    private final AntPathMatcher pathMatcher = new AntPathMatcher();
    private final String[] publicPaths = {"/public/**", "/actuator/info"};

    @Override
    public boolean matches(HttpServletRequest request) {
        // 可以额外添加Header或参数判断逻辑
        if ("true".equals(request.getHeader("Skip-Auth"))) {
            return true;
        }
        // 路径匹配
        String path = request.getRequestURI();
        for (String publicPath : publicPaths) {
            if (pathMatcher.match(publicPath, path)) {
                return true;
            }
        }
        return false;
    }
}

然后在HttpSecurity中使用：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .requestMatchers(new PublicApiMatcher()).permitAll()
            .anyRequest().authenticated()
        .and()
            .oauth2ResourceServer()
            .jwt();
}

内容的提问来源于stack exchange，提问作者Sreenath Hari