Spring Boot JWT认证后接口始终返回200状态码排查求助

1. 检查WebSecurityConfig配置 #

• 确认已禁用默认表单登录和HTTP Basic认证：必须调用http.formLogin().disable()和http.httpBasic().disable()，否则默认认证机制可能绕过JWT过滤。
• 验证authorizeHttpRequests规则：确保需要认证的接口设置了authenticated()，而非permitAll()。示例正确配置：

  http.authorizeHttpRequests(auth -> auth
          .requestMatchers("/api/auth/**").permitAll() // 登录等开放接口
          .anyRequest().authenticated() // 其他接口需认证
  );
  

  若anyRequest()用了permitAll()，所有请求都会直接放行返回200。
• 确认AuthTokenFilter的注入位置：必须通过http.addFilterBefore(authTokenFilter, UsernamePasswordAuthenticationFilter.class)添加到过滤器链，位置错误会导致过滤器不生效。

2. 排查AuthTokenFilter过滤逻辑 #

• 检查token提取逻辑：确认从请求头（如Authorization）正确提取token，需判断header != null && header.startsWith("Bearer ")，避免空token或格式错误的token被放行。
• 验证token校验失败的处理：若JWT解析失败（签名错误、过期等），不能直接调用filterChain.doFilter(request, response)放行，需触发认证失败流程（比如抛出AuthenticationException或返回401响应）。
• 确认认证信息设置：token校验通过后，必须创建Authentication对象并设置到SecurityContextHolder，示例代码：

  UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken(
          userDetails, null, userDetails.getAuthorities());
  authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
  SecurityContextHolder.getContext().setAuthentication(authentication);
  

  跳过这一步会导致后续权限校验不生效，请求被错误放行。

3. 验证JwtUtils工具类 #

• 检查validateJwtToken()方法：确保该方法能正确校验token的签名、过期时间，若方法始终返回true，无效token也会被放行。
• 确认用户信息提取：getUserNameFromJwtToken()需正确获取用户名，且后续通过UserDetailsService能加载到有效用户信息。若加载失败却未处理，会导致认证流程跳过。

4. 检查登录控制器逻辑 #

• 确认登录接口异常处理：避免捕获所有异常后直接返回200，应根据错误类型返回对应状态码（如用户名密码错误返回401）。
• 验证登录接口权限：确保登录接口被配置为permitAll()，避免被拦截，但这通常不会导致所有接口返回200，仅作辅助排查。

5. 日志辅助排查 #

• 开启Spring Security DEBUG日志，在application.properties中添加：

  logging.level.org.springframework.security=DEBUG
  

  查看过滤器链执行日志，确认AuthTokenFilter是否被执行，以及认证流程的每一步状态，定位是否有拦截或放行的异常逻辑。

内容的提问来源于stack exchange，提问作者azerELweed