Spring Security中.permitAll()接口仍返回401异常求助

核心问题拆解 #

1. permitAll()未生效：登录端点配置了允许匿名访问，但无认证信息时仍返回401，说明Spring Security的HttpBasic拦截器优先于自定义登录逻辑生效，请求根本没走到控制器。
2. 错误密码返回200：正确登录后Postman会自动缓存HttpBasic的Authorization头，后续请求即使携带错误密码参数，Spring Security已通过HttpBasic认证，请求到达控制器后，若登录方法逻辑依赖已认证用户而非传入参数，就会错误返回200。
3. 401后持续拦截：Postman会缓存未授权状态或无效的Authorization头，加上Spring Security的会话缓存，导致后续请求都被拦截。

具体解决步骤 #

1. 修正路径匹配，确保permitAll()精准生效 #

将登录端点的匹配规则改为精确匹配，避免模糊匹配的歧义：

antMatchers(HttpMethod.POST, "/api/v2/user/login").permitAll()

同时确认控制器类的前缀配置正确，比如控制器上有@RequestMapping("/api/v2")，确保完整请求路径为/api/v2/user/login，与配置完全匹配。

2. 分离HttpBasic与自定义登录逻辑 #

如果你的自定义登录是独立的认证入口（比如生成JWT），直接禁用HttpBasic，避免双重认证拦截：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable()
        .authorizeRequests()        
        .antMatchers(HttpMethod.POST, "/api/v2/user/", "/api/v2/user", "/api/v2/user/change-role/**").hasAuthority("ROOT")
        .antMatchers(HttpMethod.GET, "/api/v2/user/", "/api/v2/user").hasAuthority("ROOT")
        .antMatchers(HttpMethod.POST, "/api/v1/customers/", "/api/v1/customers").hasAnyAuthority("ADMIN", "ROOT")
        .antMatchers(HttpMethod.GET, "/api/v1/customers/", "/api/v1/customers").hasAnyAuthority("EMPLOYEE", "ADMIN", "ROOT")
        .antMatchers(HttpMethod.POST, "/api/v2/user/login").permitAll()
        .anyRequest().authenticated();
    // 注释掉httpBasic()，取消自动认证拦截
}

若必须保留HttpBasic，需为登录端点单独配置绕过认证：

http.csrf().disable()
    .requestMatchers().antMatchers("/api/**")
    .and()
    .authorizeRequests()
    // ... 其他权限配置
    .antMatchers(HttpMethod.POST, "/api/v2/user/login").permitAll()
    .anyRequest().authenticated()
    .and().httpBasic();

3. 修复登录方法的校验逻辑 #

确保loginUser方法始终校验传入的用户名和密码参数，不依赖Spring Security的已认证上下文：

// 示例正确实现
public ResponseEntity<Boolean> loginUser(String username, String password) {
    User user = userRepository.findByUsername(username);
    if (user == null) {
        return ResponseEntity.status(HttpStatus.UNAUTHORIZED).body(false);
    }
    // 必须用密码编码器校验明文密码与存储的加密密码
    if (passwordEncoder.matches(password, user.getPassword())) {
        // 这里可添加生成令牌、会话等逻辑
        return ResponseEntity.ok(true);
    } else {
        return ResponseEntity.status(HttpStatus.UNAUTHORIZED).body(false);
    }
}

测试时在Postman中手动清除Authorization头，关闭“自动保存认证信息”，避免缓存干扰。

4. 配置无状态会话，避免缓存影响 #

添加会话管理配置，设置为无状态，防止Spring Security缓存认证状态：

http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);

这样每次请求都是独立的，不会因之前的401状态导致后续请求被拦截。

内容的提问来源于stack exchange，提问作者Anant