Spring Boot集成OpenApi后接口请求返回403 FORBIDDEN问题求助

针对Spring Boot集成Spring Security和OpenApi Swagger后，登录接口配置permitAll()但Swagger调用返回403、Postman调用正常的问题，以下是具体原因排查和解决方法：

可能原因及对应解决方法 #

1. 请求路径匹配不精确 #

Swagger调用的登录接口路径可能与配置的antMatchers("/api/user/login")存在细微差异（比如末尾多了斜杠/api/user/login/），导致Spring Security未匹配到permitAll规则。

• 解决：修改路径匹配规则，兼容更多场景：

  .antMatchers("/api/user/login/**").permitAll()
  

2. Swagger缓存无效认证令牌 #

Swagger UI会缓存之前输入的Authorization令牌，即使接口配置了permitAll()，无效/过期令牌仍会触发Spring Security的认证拦截，返回403。

• 解决：点击Swagger UI页面的Authorize按钮，清除已输入的令牌后重新调用登录接口。

3. 方法级权限注解冲突 #

如果登录接口的Controller方法添加了@PreAuthorize/@PostAuthorize等权限注解，会覆盖Spring Security的全局配置，导致已认证用户无权限访问（未认证用户则直接被拦截）。

• 解决：移除Controller方法上的权限注解，或调整注解逻辑允许未认证访问（如@PreAuthorize("permitAll()")）。

4. Spring Security配置优化 #

WebSecurityCustomizer的ignoring()规则可能未覆盖所有Swagger相关路径，或与SecurityFilterChain的规则冲突。建议将Swagger路径直接加入permitAll()规则：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
            .cors().disable().csrf().disable().authorizeRequests()
            // 放行登录接口
            .antMatchers("/api/user/login").permitAll()
            // 放行所有Swagger相关路径
            .antMatchers("/v3/api-docs/**", "/swagger-ui/**", "/swagger-resources/**", "/webjars/**").permitAll()
            .anyRequest().authenticated();

    return http.build();
}

5. 请求参数/Header不一致 #

确认Swagger调用时的请求Content-Type、参数格式与Postman完全一致（比如是否为application/json，参数是否正确填写），格式不匹配可能触发后端拦截逻辑。

调试建议 #

开启Spring Security调试日志，查看请求被拦截的具体原因：
在application.properties中添加：

logging.level.org.springframework.security=DEBUG

同时通过浏览器开发者工具的Network面板，对比Swagger和Postman请求的Header、路径、参数差异。

内容的提问来源于stack exchange，提问作者Artur Vartanyan