Spring Security 6.4.8中如何让配置permitAll的/fun端点避免触发Anonymous SecurityContext，允许内部网络服务访问？

我太懂这种困扰了——明明已经给/fun加了permitAll，结果日志里还是跳出来AnonymousAuthenticationFilter在设置匿名上下文，总担心是不是自己的业务逻辑还没执行，就被安全框架先截胡了。结合Spring Security 6.4.8的特性，给你两个最实用的解决思路：

方案1：让/fun完全绕过Spring Security过滤器链（最推荐） #

你看到的AnonymousAuthenticationFilter触发，本质是因为permitAll只是授权环节允许访问，但请求还是会走完整个Spring Security过滤器链。如果要彻底避免这个问题，直接让/fun跳过所有Spring Security的处理逻辑是最直接的。

你只需要在配置类里添加一个WebSecurityCustomizer Bean，把/fun加入忽略列表：

@Bean
public WebSecurityCustomizer webSecurityCustomizer() {
    return web -> web.ignoring()
            .requestMatchers("/fun");
}

同时记得把HttpSecurity的authorizeHttpRequests里的/fun去掉，因为这个请求根本不会走到授权环节了。

这个方案的好处是：内部服务访问/fun时，完全不会触发任何Spring Security的过滤器（包括匿名认证过滤器），请求会直接打到你的Controller，执行你的业务逻辑。

⚠️ 注意：这个操作会让/fun完全脱离Spring Security的保护，所以一定要确保只有内部网络能访问它——比如在网关/反向代理层做IP白名单限制，或者在你的FunController里自己加IP校验逻辑：

@RestController
public class FunController {
    // 这里换成你的内部网络IP段/具体服务IP
    private static final List<String> INTERNAL_ALLOWED_IPS = Arrays.asList("192.168.0.0/16", "10.0.0.0/8");

    @GetMapping("/fun")
    public ResponseEntity<String> fun(HttpServletRequest request) {
        String clientIp = request.getRemoteAddr();
        if (!isInternalIp(clientIp)) {
            return ResponseEntity.status(HttpStatus.FORBIDDEN).body("仅允许内部服务访问");
        }
        // 这里写你的业务逻辑
        return ResponseEntity.ok("FUN!");
    }

    // 实现IP匹配逻辑，比如校验是否在允许的网段内
    private boolean isInternalIp(String ip) {
        // 这里可以用Apache Commons Net或者自己实现CIDR匹配，示例逻辑简化处理
        for (String allowedRange : INTERNAL_ALLOWED_IPS) {
            // 实际开发中请替换为严谨的IP段校验代码
            if (ip.startsWith(allowedRange.split("/")[0])) {
                return true;
            }
        }
        return false;
    }
}

方案2：保留过滤器链，但让AnonymousAuthenticationFilter跳过/fun #

如果你不想完全绕过Spring Security（比如/fun还需要用到其他过滤器的功能），可以自定义AnonymousAuthenticationFilter，让它对/fun请求失效：

@Bean
public AnonymousAuthenticationFilter customAnonymousAuthenticationFilter() {
    // 第一个参数是匿名用户的密钥，随便填个字符串就行
    AnonymousAuthenticationFilter filter = new AnonymousAuthenticationFilter("internal-service-key");
    // 让过滤器跳过/fun请求
    filter.setRequestMatcher(new NegatedRequestMatcher(new AntPathRequestMatcher("/fun")));
    return filter;
}

这个自定义的过滤器会替换Spring Security默认的AnonymousAuthenticationFilter，当请求是/fun时，它不会设置匿名上下文，其他请求则正常走匿名认证逻辑。

为什么permitAll还会触发AnonymousAuthenticationFilter？ #

最后给你补个知识点：Spring Security的过滤器链是按顺序执行的，AnonymousAuthenticationFilter在授权过滤器（FilterSecurityInterceptor）之前。permitAll只是在授权环节放行，但请求已经走到了AnonymousAuthenticationFilter的位置，所以它还是会执行设置匿名上下文的操作——这是Spring Security的默认设计，目的是给所有未认证的请求一个统一的上下文标识，方便后续逻辑处理。

内容来源于stack exchange