Spring中GlobalMethodSecurityConfiguration与WebSecurityConfigurerAdapter使用问题

你的实现存在两个关键逻辑偏差，直接导致标记了@PreAuthorize("permitAll()")的接口依然无法被未登录用户访问：

• Web层与方法层安全的执行时序差异：你在WebSecurityConfig中配置的anyRequest().authenticated()属于Servlet Filter层面的规则，会在请求进入Spring MVC调度流程、抵达Controller方法之前完成校验。未认证请求在触发方法级权限注解校验前，就已经被Web层拦截器直接拒绝，@PreAuthorize注解没有任何执行机会。
• 安全机制的职责边界混淆：方法级别的@PreAuthorize("permitAll()")仅对已经通过Web层校验、成功进入方法调用链路的请求生效，不具备突破Web层强制认证拦截的能力。

• 嵌套在GlobalMethodSecurityConfiguration内部的WebSecurityConfig配置结构本身不会导致功能失效，但自定义的CustomPermissionAllowedMethodSecurityMetadataSource逻辑和Web层的anyRequest().authenticated()功能完全重复：两者都是对所有Controller接口默认拒绝未认证访问，额外增加了排查复杂度，没有实际增益。
• Web层的URL授权规则遵循「配置顺序优先匹配」的逻辑，你当前的配置没有给公开接口配置任何放行规则，所有未认证请求默认都会被拦截。

要实现「部分接口公开、其余接口需认证」的需求，不需要自定义方法元数据源，只需要理清两层安全机制的配合逻辑即可：

• 首先在Web层的authorizeRequests规则中，优先为公开接口配置放行规则，保证未认证请求可以正常路由到对应接口。放行规则的声明顺序必须放在anyRequest().authenticated()之前，否则会被后续的全局认证规则覆盖。
  参考配置片段：

  @Override
  protected void configure(HttpSecurity http) throws Exception {
      http.authorizeRequests()
          // 优先声明公开接口路径，允许匿名访问
          .antMatchers("/api/public/**", "/actuator/health").permitAll()
          // 其余所有请求必须完成认证
          .anyRequest().authenticated()
          .and()
          .oauth2ResourceServer()
          .authenticationManagerResolver((request) -> http.getSharedObject(AuthenticationManager.class))
          .and().oauth2Login()
          .and().csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
          .and().cors();
  }
  

• 其次如果需要在方法粒度做权限控制，再开启@EnableGlobalMethodSecurity，配合@PreAuthorize注解实现细粒度校验。此时方法上的@PreAuthorize("permitAll()")可以正常生效，因为请求已经通过Web层的放行规则，进入了方法调用链路。

补充说明：如果希望完全靠方法上的@PreAuthorize注解标记公开接口、不在Web层硬编码路径规则，也可以调整Web层规则为放行所有请求到方法层，由方法安全拦截器完成最终校验。但这种方式会让所有未认证请求都进入DispatcherServlet处理，相比传统的Web层URL拦截模式会增加不必要的请求开销，不适合生产场景使用。

内容的提问来源于stack exchange，提问作者tomasz-mer