Spring Boot POST请求返回401未授权但GET请求正常的问题求助

嘿，我来帮你排查这个头疼的问题！从你描述的情况来看，GET请求能正常返回200，但POST请求一直报401，而且你已经禁用了CSRF，甚至把/courses/**设置成了permitAll()，这确实有点反常。咱们一步步来梳理可能的原因：

1. 检查SecurityConfig的HttpSecurity配置是否完整覆盖所有请求方法 #

你贴的SecurityConfig代码没写完，我猜大概率是filterChain配置的问题！很多时候开发者会不小心只给GET请求开了权限，POST请求没覆盖到。你要确保/courses/**的所有请求方法都被允许，而不只是GET。

完整的filterChain配置应该像这样：

@Configuration 
@EnableWebSecurity
@RequiredArgsConstructor
public class SecurityConfig {

    private final CustomUserDetailsService userDetailsService;
    private final JwtAuthEntryPoint jwtAuthEntryPoint;

    @Bean
    public AuthTokenFilter authenticationTokenFilter(){
        return new AuthTokenFilter();
    }

    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }

    @Bean
    public AuthenticationManager authenticationManager(AuthenticationConfiguration authConfig) throws Exception {
        return authConfig.getAuthenticationManager();
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf(csrf -> csrf.disable())
                .exceptionHandling(exception -> exception.authenticationEntryPoint(jwtAuthEntryPoint))
                .sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
                .authorizeHttpRequests(auth -> 
                        // 明确允许/courses/**下的所有请求方法，包括POST
                        auth.antMatchers("/courses/**").permitAll()
                                .anyRequest().authenticated()
                );

        // 确保JWT过滤器在UsernamePasswordAuthenticationFilter之前执行
        http.addFilterBefore(authenticationTokenFilter(), UsernamePasswordAuthenticationFilter.class);

        return http.build();
    }
}

如果之前你只写了antMatchers(HttpMethod.GET, "/courses/**").permitAll()，那POST请求自然会被拦截！

2. 排查JWT过滤器（AuthTokenFilter）的逻辑 #

你的AuthTokenFilter会不会错误地拦截了/courses/**的POST请求？比如过滤器里没判断请求路径是否属于免认证范围，直接去解析JWT token，而POST请求可能因为某些原因（比如没带token或者token无效）触发了401。

你可以在doFilterInternal方法里先判断请求路径，免认证的直接放行：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    String requestURI = request.getRequestURI();
    // 如果是courses路径，直接跳过JWT校验
    if (requestURI.startsWith("/courses/")) {
        filterChain.doFilter(request, response);
        return;
    }

    // 下面是原本的JWT校验逻辑
    String jwt = parseJwt(request);
    if (jwt != null && jwtUtils.validateJwtToken(jwt)) {
        String username = jwtUtils.getUserNameFromJwtToken(jwt);
        UserDetails userDetails = userDetailsService.loadUserByUsername(username);
        UsernamePasswordAuthenticationToken authentication = 
                new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities());
        authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
        SecurityContextHolder.getContext().setAuthentication(authentication);
    }

    filterChain.doFilter(request, response);
}

3. 检查Postman请求的细节 #

有时候问题出在请求本身，不是代码：

• 有没有不小心给POST请求带了无效/过期的Authorization头？Postman可能会缓存旧的token，你可以暂时删掉Authorization头再测试。
• 确认POST请求的Content-Type是不是正确（比如application/json），有些情况下不正确的Content-Type会触发Spring Security的额外校验。
• 试试用无痕模式打开Postman，避免缓存的影响。

4. 排查是否有其他拦截器/过滤器干扰 #

除了Spring Security的过滤器，你有没有自定义其他拦截器？比如某些日志拦截器、权限拦截器，会不会对POST请求做了额外的校验？可以暂时禁用这些自定义组件，看看问题是否消失。

备注：内容来源于stack exchange，提问作者Shubhankar Singh