Spring Boot+JWT授权头无法在JavaFX后续请求中持久化问题

这种前后端请求不一致的坑我之前踩过好几次，结合你提到的问题出在自定义JWTAuthFilter里，咱们一步步来定位：

1. 先确认JavaFX请求的Header格式是否完全正确 #

Postman里的Authorization头是严格的Bearer <token>格式（注意Bearer后面有且仅有一个空格），你得检查JavaFX里的请求头是不是完全符合这个规范：

• 有没有把Bearer写成小写？比如bearer xxx
• 有没有漏写空格？比如Bearerxxx
• 有没有多写空格？比如Bearer xxx（两个空格）

可以在JavaFX发送请求前把Header内容打印出来对比：

HttpClient client = HttpClient.newHttpClient();
HttpRequest request = HttpRequest.newBuilder()
        .uri(URI.create("你的接口地址"))
        .header("Authorization", "Bearer " + token) // 这里要确认拼接是否正确
        .build();
// 打印实际发送的Header
System.out.println("Authorization Header: " + request.headers().firstValue("Authorization").orElse("空"));

2. 排查JWTAuthFilter的Token提取逻辑 #

假设你的过滤器继承自OncePerRequestFilter，重点检查Token提取的代码：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    String authHeader = request.getHeader("Authorization");
    // 这里的判断是不是严格匹配了格式？
    if (authHeader == null || !authHeader.startsWith("Bearer ")) {
        // 如果直接返回403，那就是Header格式不对导致的
        response.sendError(HttpServletResponse.SC_FORBIDDEN, "Invalid Authorization Header");
        return;
    }
    // 提取Token时要注意下标是否正确，"Bearer "是7个字符（含空格）
    String token = authHeader.substring(7);
    // 后续解析逻辑...
}

如果JavaFX的Header有多余空格，substring(7)会拿到带空格的Token，解析自然失败，导致权限校验不通过返回403。

3. 验证Token解析与权限设置逻辑 #

过滤器里解析Token后，有没有正确把用户信息和权限存入SecurityContextHolder？比如：

// 解析Token
Claims claims = jwtTokenUtil.extractAllClaims(token);
String username = claims.getSubject();
List<String> roles = claims.get("roles", List.class);

// 构建Authentication对象
UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken(
        username,
        null,
        roles.stream().map(SimpleGrantedAuthority::new).collect(Collectors.toList())
);
authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));

// 存入上下文
SecurityContextHolder.getContext().setAuthentication(authentication);

要确认：

• Token里的roles字段是否和Postman请求时一致？会不会JavaFX登录时生成的Token权限字段有误？
• 有没有把Authentication正确存入上下文？如果这一步漏了，后续接口会认为用户未认证。

4. 检查CORS配置（如果跨域的话） #

如果JavaFX客户端和Spring Boot后端不在同一域名下，要确保CORS配置允许携带Authorization头：

@Bean
public CorsFilter corsFilter() {
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    CorsConfiguration config = new CorsConfiguration();
    config.setAllowCredentials(true);
    config.addAllowedOriginPattern("*"); // 生产环境建议指定具体域名
    config.addAllowedHeader("Authorization"); // 明确允许Authorization头，或者用"*"允许所有
    config.addAllowedMethod("*");
    source.registerCorsConfiguration("/**", config);
    return new CorsFilter(source);
}

如果CORS没配置允许这个头，JavaFX的后续请求可能会被拦截，导致Header无法传递到后端过滤器。

5. 给过滤器加日志调试 #

最直接的方式是在JWTAuthFilter的关键步骤加日志，比如：

System.out.println("Received Authorization Header: " + authHeader);
System.out.println("Extracted Token: " + token);
System.out.println("Parsed Username: " + username);
System.out.println("User Roles: " + roles);
System.out.println("SecurityContext Authentication: " + SecurityContextHolder.getContext().getAuthentication());

通过日志就能清晰看到哪一步出了问题——是Header没收到，还是Token解析失败，还是权限没设置到位。

内容的提问来源于stack exchange，提问作者Nalaka