Spring Security JWT登录端点仍需认证问题求助

兄弟，我刚上手Spring Security整合JWT的时候也踩过一模一样的坑！明明配置了放行登录端点，结果连登录都要跳认证，太闹心了。结合你给出的代码片段，我整理几个最可能的原因和解决办法：

1. 确保放行规则的顺序正确 #

Spring Security的规则是从上到下匹配，一旦匹配到就停止后续规则。如果你把认证规则（比如anyRequest().authenticated()）放在放行规则前面，那所有请求都会先触发认证。正确的顺序应该是先放行不需要认证的端点，再设置其他请求需要认证：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .csrf().disable() // REST API通常要禁用CSRF，否则POST请求会被拦截
        .authorizeRequests()
            .antMatchers("/api/auth/login", "/api/auth/register") // 放行登录、注册这类无需认证的端点
            .permitAll()
            .anyRequest() // 其他所有请求都需要认证
            .authenticated();
}

2. 检查JWT过滤器是否拦截了登录端点 #

如果你自定义了JWT认证过滤器，一定要确保它不拦截登录请求——毕竟登录时还没有生成JWT，过滤器如果强制校验token的话，就会把登录请求也挡下来。可以在添加过滤器时指定拦截路径，或者在过滤器内部判断请求路径是否需要跳过：

比如添加过滤器时指定只拦截需要认证的路径：

http.addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);

然后在JwtAuthenticationFilter的doFilterInternal方法里跳过登录路径：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    String path = request.getRequestURI();
    // 如果是登录路径，直接放行，不用校验JWT
    if ("/api/auth/login".equals(path)) {
        filterChain.doFilter(request, response);
        return;
    }
    // 其他路径才执行JWT校验逻辑
    // ... 你的JWT解析、认证代码
}

3. 别搞混WebSecurity和HttpSecurity的放行范围 #

有时候你可能在configure(WebSecurity web)方法里配置了静态资源放行，但如果不小心把API端点也丢进去，或者反过来，也会出问题。记住：

• web.ignoring()是完全跳过Spring Security的所有过滤器（包括认证和授权），适合静态资源；
• API的登录端点建议用HttpSecurity的permitAll()，因为登录请求可能还要走UsernamePasswordAuthenticationFilter处理账号密码校验。

示例代码：

@Override
public void configure(WebSecurity web) throws Exception {
    // 只放行静态资源，API端点别放这儿
    web.ignoring().antMatchers("/css/**", "/js/**", "/images/**");
}

4. 检查是否有其他Security配置类冲突 #

如果你的项目里有多个WebSecurityConfigurerAdapter的实现类，Spring会按优先级加载。如果另一个配置类的规则更严格，可能会覆盖你的配置。可以给你的SecurityUtility类加上@Order(1)注解，让它优先加载：

@EnableGlobalMethodSecurity(prePostEnabled = true)
@EnableWebSecurity
@Configuration
@Order(1) // 确保这个配置类优先被加载
public class SecurityUtility extends WebSecurityConfigurerAdapter {
    // ... 你的原有代码
}

5. 验证请求路径是否匹配正确 #

有时候可能是你配置的antMatchers路径和实际请求路径不匹配——比如你配的是/login，但实际请求的是/api/login，或者大小写不一致。可以开启Spring Security的调试日志，看看请求到底匹配到了哪个规则：

在application.properties里添加：

logging.level.org.springframework.security=DEBUG

启动项目后，看日志里的FilterChainProxy相关输出，就能清楚看到每个请求匹配的规则是什么，很容易排查路径不匹配的问题。

内容的提问来源于stack exchange，提问作者Patrick