如何解决Postman测试谷歌OAuth2保护的Spring REST API报401未授权问题

1. 校验Postman请求配置 #

• 确认token传递方式正确：如果是JWT token，在Postman的Authorization标签页选择类型为Bearer Token，将获取到的token完整粘贴到输入框，避免多余空格、换行符。
• 确认请求路径与方法匹配：你当前的接口是GET /todos，但你新增的权限配置仅针对POST /admin/todo/**，路径和方法完全不匹配，导致/todos未纳入权限规则，默认触发全局认证要求。先补充对应路径的配置：

  .antMatchers(HttpMethod.GET, "/todos").hasRole("ADMIN")
  

• 确认请求头无冲突：不要手动添加重复的Authorization请求头，以Authorization标签页的配置为准。

2. 排查Spring Security配置问题 #

• 开启方法级权限注解：在Security配置类上添加@EnableMethodSecurity（Spring Security 6+ 版本）或@EnableGlobalMethodSecurity(prePostEnabled = true)（低版本），否则@PreAuthorize注解不会生效。
• 保证规则顺序正确：Spring Security的antMatchers规则按从上到下的顺序匹配，需要将私有路径的权限配置放在permitAll()规则之后、anyRequest().authenticated()之前，确保未匹配到公开路径的请求都走认证逻辑。
• 检查角色前缀配置：Spring Security默认给角色添加ROLE_前缀，hasRole('ADMIN')实际匹配的是权限列表里的ROLE_ADMIN。如果你的数据库中存储的角色是不带前缀的ADMIN，可以通过以下配置去掉默认前缀：

  @Bean
  public GrantedAuthorityDefaults grantedAuthorityDefaults() {
      return new GrantedAuthorityDefaults("");
  }
  

• 确认token过滤器配置正确：自定义的JWT token过滤器需要注册在UsernamePasswordAuthenticationFilter之前，且过滤器逻辑要正确完成token校验、解析，校验通过后将包含权限信息的Authentication对象存入SecurityContextHolder，否则会被判定为未认证返回401。

3. 排查用户权限加载逻辑 #

• 确认获取token时，用户的角色信息已经被正确加载到Authentication对象的权限列表中，可以在接口中添加日志打印当前用户的权限：

  System.out.println(SecurityContextHolder.getContext().getAuthentication().getAuthorities());
  

  检查输出是否包含你需要的ADMIN（或带前缀的ROLE_ADMIN）权限。

完成以上调整后重新发起请求即可解决401问题。

内容的提问来源于stack exchange，提问作者user14734781