Spring Security permitAll()失效：匿名访问注册接口返回401问题排查

一、permitAll()失效的原因（属于异常情况，是配置/逻辑错误导致） #

你的问题核心是Security过滤器链的执行逻辑或配置顺序出了问题，导致permitAll()规则未被正确触发，具体可能的原因：

• 过滤器顺序错误：自定义的JWT认证过滤器（比如继承OncePerRequestFilter的实现）被放在Security认证规则判断之前，且该过滤器对所有请求强制进行JWT解析。当请求未携带JWT时，直接抛出认证异常或设置Null authentication，导致后续的permitAll()规则根本没机会执行。
• 配置顺序颠倒：如果Security配置中先写了anyRequest().authenticated()，再写requestMatchers("/user/register").permitAll()，由于Security按配置顺序匹配规则，前面的anyRequest已匹配所有请求，后面的permitAll规则会被直接忽略。
• 注册接口逻辑违规：注册接口中误调用了UserDetailsService.loadUserByUsername()方法（比如混入了认证逻辑），此时用户尚未注册，必然触发UsernameNotFoundException，进而导致Security返回401。

二、web.ignoring()的安全性与常规性 #

• 安全性：这种方式不安全。web.ignoring()会跳过整个Security Filter Chain，意味着该接口完全失去Security提供的所有防护，包括CSRF防护、CORS处理、请求限流、异常处理等。对于注册接口来说，可能面临批量注册攻击、CSRF攻击（前后端分离场景风险较低，但并非完全无风险）等问题。
• 常规性：这不属于常规做法。web.ignoring()一般仅用于完全不需要任何安全防护的静态资源（如静态图片、JS/CSS文件），而非业务接口。

三、更优解决方案 #

1. 调整JWT过滤器的执行逻辑 #

在自定义JWT过滤器中，先判断请求路径是否为公开接口，若是则直接放行，不执行JWT解析：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    // 匹配公开接口路径，直接放行
    String requestUri = request.getRequestURI();
    if (requestUri.equals("/user/register")) {
        filterChain.doFilter(request, response);
        return;
    }
    // 非公开接口，执行JWT解析与认证逻辑
    // ... 你的JWT处理代码
}

2. 修正SecurityFilterChain配置顺序 #

确保permitAll()规则放在authenticated()规则之前，让Security优先匹配公开接口：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .csrf(csrf -> csrf.disable())
        .cors(cors -> cors.configurationSource(corsConfigurationSource()))
        .authorizeHttpRequests(auth -> auth
            // 先配置公开接口
            .requestMatchers("/user/register").permitAll()
            // 再配置其他请求需认证
            .anyRequest().authenticated()
        )
        // 将JWT过滤器添加到正确位置（比如UsernamePasswordAuthenticationFilter之前）
        .addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
    return http.build();
}

3. 检查注册接口业务逻辑 #

确保注册接口中没有调用任何需要认证的方法，比如不要在注册流程中调用UserDetailsService.loadUserByUsername()——注册时用户还未创建，这个调用必然抛出异常，直接导致401错误。

内容的提问来源于stack exchange，提问作者Bejo