Spring Boot Security配置异常：允许路径/api/register返回401未授权

咱们一步步来梳理你遇到的几个核心问题，这里面有不少容易踩坑的细节：

1. /api/register 返回401的核心排查点 #

你配置了antMatchers("/**").permitAll()但还是返回401，先从这几个方向查：

（1）请求路径与控制器是否完全匹配？ #

你的/api/register是POST端点，先确认Postman里的请求路径是不是和控制器的@PostMapping完全一致——比如控制器写的是/api/register，你是不是请求了/api/register/（带末尾斜杠）？这种细微差异会导致匹配失败。

（2）Spring Security的匹配顺序没问题，但建议明确放行规则 #

你的配置顺序是先限制/api/quizzes/**需要USER角色，再放行所有路径，这个顺序是对的，因为/api/register不会匹配/api/quizzes/**，理应落到/**的放行规则里。如果还是不行，建议你把/api/register单独提出来配置，避免/**的歧义：

.antMatchers("/api/register").permitAll()

2. 注释SecurityConfig后返回403的原因 #

这其实是Spring Security的默认行为！当你完全注释掉自定义的Security配置时，Spring会启用默认配置：默认开启CSRF保护，所有POST/PUT/DELETE请求都必须携带CSRF令牌，否则就会返回403。这个是正常的，不用慌。

3. UserService没被调用的致命错误 #

看你的UserService代码，这里有个超级容易犯的错误：

@Autowired static UserRepository userRepository;

Spring 根本没法给静态字段做依赖注入！因为Spring的DI是针对类的实例的，静态字段属于类本身，Spring没法把实例注入进去，所以你的userRepository其实是null。这会导致两个问题：

• loadUserByUsername方法里调用userRepository.findByEmail()会直接空指针（不过你说控制台没日志，说明这个方法根本没被触发，因为请求还没走到认证环节）
• saveUserToDB方法也会因为userRepository为null抛出空指针

赶紧把static修饰符去掉：

@Autowired
private UserRepository userRepository;

同时saveUserToDB也不能是静态方法了，改成实例方法：

public void saveUserToDB(User user) {
    // 原逻辑不变
    userRepository.save(user);
}

4. 优化后的Security配置建议 #

为了避免匹配顺序的坑，建议把明确需要放行的端点放在最前面，再配置需要权限的规则，这样更清晰：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable()
        .httpBasic()
        .and()
        .authorizeRequests()
        // 先放行不需要认证的端点
        .antMatchers("/api/register", "/", "/h2-console/**").permitAll()
        // 再配置需要USER角色的接口
        .antMatchers("/api/quizzes/**").hasRole("USER")
        // 其他请求都需要认证（可选，根据你的需求调整）
        .anyRequest().authenticated()
        .and()
        .headers().frameOptions().disable();
}

5. 额外的排查小技巧 #

• 检查MyUserDetails的getAuthorities()：你返回的是ROLE_USER，这个是对的，因为hasRole("USER")会自动加上ROLE_前缀，匹配没问题。
• 用内存认证测试时，访问/api/quizzes要确保Postman里加了Basic Auth的用户名密码（user1/password），而/api/register因为配置了permitAll，不需要带认证信息。
• 检查你的/api/register控制器：是不是加了@RestController？@PostMapping("/api/register")的路径有没有写错？方法参数是不是用了@RequestBody User user？有没有抛出异常导致返回错误状态码？

内容的提问来源于stack exchange，提问作者SimonA