Spring Security认证成功后调用API返回403错误求助

看起来你遇到的问题是登录页面的OAuth2认证完全正常，但通过curl调用/api/dothis时总是返回403，而且错误卡在AuthenticationFilter的chain.doFilter()环节。结合你给出的代码和curl命令，我梳理几个可能的问题点和解决方向：

1. AuthenticationFilter的请求格式不匹配 #

你的curl命令用了-F 'data=@path/to/cert'，这会发送multipart/form-data类型的请求，但在AuthenticationFilter里，你硬编码设置了请求头Content-Type: application/json，还把请求体当作JSON来处理并传给外部API：

con.setRequestProperty("Content-Type","application/json");
// ...
try(
    DataOutputStream wr = new DataOutputStream(con.getOutputStream())) {
    wr.write(postData);
}

如果postData是直接从原请求（form-data格式）的InputStream读取的内容，那这个内容和JSON格式完全不符，传给外部API后肯定返回的不是包含"successful": true的结果，过滤器自然不会执行chain.doFilter()放行请求，最终就返回了403。

解决建议：

• 要么修改curl命令，用JSON格式传递数据（如果API支持的话）；
• 要么调整AuthenticationFilter的逻辑，先解析multipart/form-data格式的请求，提取出需要的参数再组装成JSON传给外部API；
• 在过滤器里添加日志，打印原请求的Content-Type和请求体内容，确认读取的postData是否符合预期。

2. Security配置的顺序冲突 #

你的MultipleSecurityConfig标注了@Order(1)，内部的ApiSecurityConfig是@Order(2)，但LoginSecurityConfig没有设置@Order。Spring Security的配置是按@Order数值从小到大优先执行的，数值越小优先级越高。这里可能出现的问题是：LoginSecurityConfig的优先级比ApiSecurityConfig高，导致/api/**的请求先被LoginSecurityConfig的规则处理——而LoginSecurityConfig里只对/login等路径放行，其他请求需要认证，但API请求没有携带OAuth2的会话信息，所以直接返回403。

解决建议：
给LoginSecurityConfig加上@Order(3)，确保ApiSecurityConfig（@Order(2)）优先处理/api/**的请求：

@Order(3)
@Configuration
public class LoginSecurityConfig extends WebSecurityConfigurerAdapter {
    // ... 原有代码
}

3. 过滤器的异常处理缺失 #

在AuthenticationFilter里，如果外部API调用返回的响应码不是200，你只是打印了错误日志，把result设为null，但没有对这种情况做任何响应处理：

} else {
    System.out.println("Error creating HTTPS connection");
    System.out.println("Response Code: " + responseCode + ", Response Message: " + con.getResponseMessage());
    result = null;
}

这时候请求会被直接拦截，Spring Security默认返回403。你应该在这种情况下明确返回对应的错误状态码（比如500），同时也能帮助你排查问题。

解决建议：
在else分支里添加响应处理：

} else {
    System.out.println("Error creating HTTPS connection");
    System.out.println("Response Code: " + responseCode + ", Response Message: " + con.getResponseMessage());
    http_response.setStatus(HttpServletResponse.SC_INTERNAL_SERVER_ERROR);
    // 可以返回错误信息
    http_response.getWriter().write("{\"error\": \"Failed to authenticate with external API\"}");
    return; // 不要继续执行chain.doFilter()
}

4. 依赖注入的潜在问题 #

两个Security配置类里的restAuthenticationEntryPoint都没有做注入（没有@Autowired或者构造函数注入），这会导致这个对象是null。虽然当前问题是403，但null的EntryPoint可能在认证流程中触发异常，间接影响请求处理，建议确保这个Bean被正确注入：

@Autowired
RestAuthenticationEntryPoint restAuthenticationEntryPoint;

快速调试技巧 #

• 在AuthenticationFilter里添加日志，打印外部API返回的result内容，确认是否真的包含"successful": true；
• 先模拟外部API返回成功的情况（比如直接把result设为包含该字符串的内容），看是否能正常放行请求，验证过滤器的核心逻辑是否正确。

内容的提问来源于stack exchange，提问作者SomeoneElse