Spring Security完全失效问题：配置异常与过滤器未触发排查

让我们逐一拆解你的问题，从过滤器链的核心逻辑入手：

1. JwtAuthorizationFilter从未被调用 & 过滤器链异常 #

从你提供的日志可以看到，Spring Security为/users/sign_up生成了空过滤器链（Creating filter chain: Ant [pattern='/users/sign_up'], []），而/sign_in也属于permitAll()配置的路径，同样会被分配空链。这是Spring Security的默认行为：对于permitAll()的路径，它认为不需要任何安全校验，所以不会加载任何安全过滤器。

而你的JwtAuthorizationFilter是通过addFilterBefore()添加到全局HttpSecurity中的，但当前代码把这个操作作为单独调用而非链式调用的一部分，可能导致过滤器没有被正确纳入配置流程——Spring Security的HttpSecurity配置是链式构建的，单独调用可能会被忽略。即便配置生效，这个过滤器也只会绑定到最后构建的默认过滤器链（匹配所有其他受保护请求的链），不会被添加到permitAll()路径的空链里。

2. /users/sign_up失败返回401而非500 #

这个问题的核心是你的AppAuthenticationEntryPoint被全局配置为认证异常的处理入口。当注册接口抛出业务异常时，如果你的代码中不小心触发了认证逻辑（比如尝试获取未认证的SecurityContext），就会抛出AuthenticationException，进而被AppAuthenticationEntryPoint捕获，返回401。

另外，由于/users/sign_up走空过滤器链，Spring MVC的全局异常处理器可能没有机会处理这个异常，反而被Security的全局异常处理逻辑接管了。

3. /sign_in接口仅返回401无日志 #

大概率是/sign_in路径被Spring Security的默认UsernamePasswordAuthenticationFilter拦截了——这个过滤器默认处理/login的POST请求，如果你没有修改它的路径，而你的/sign_in接口是POST请求，它会尝试对请求做认证校验。如果请求没有携带正确的用户名密码（注册接口的请求显然不会带），就会直接返回401，根本不会走到你的控制器方法，所以没有业务日志。

另外也有可能/sign_in的permitAll()配置没有生效——虽然你的代码顺序是对的，但如果Spring Security的匹配规则出现冲突（比如其他地方有更优先的路径匹配），也会导致请求被默认链拦截，触发认证校验。

快速修复方案 #

调整HttpSecurity配置的链式结构 #

把addFilterBefore()纳入链式调用，确保过滤器被正确添加到默认链：

@Configuration 
@EnableWebSecurity 
class SignInSecurityConfig(val authenticationEntryPoint: AppAuthenticationEntryPoint) : WebSecurityConfigurerAdapter() { 
    override fun configure(http: HttpSecurity) { 
        http.cors()
            .and().csrf().disable()
            .and().exceptionHandling()
                .authenticationEntryPoint(authenticationEntryPoint)
            .and().sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and().authorizeRequests()
                .antMatchers("/sign_in", "/users/sign_up").permitAll()
                .anyRequest().authenticated()
            // 把addFilterBefore作为链式调用的一部分
            .and().addFilterBefore(JwtAuthorizationFilter(), UsernamePasswordAuthenticationFilter::class.java)
    } 
}

确保注册接口的异常被业务逻辑处理 #

在/users/sign_up的控制器方法中，显式捕获业务异常，返回500状态码，避免触发Security的认证异常处理：

@PostMapping("/users/sign_up")
fun signUp(@RequestBody userDto: UserDto): ResponseEntity<Any> {
    return try {
        userService.register(userDto)
        ResponseEntity.status(HttpStatus.CREATED).build()
    } catch (e: BusinessException) {
        // 处理业务异常，返回500和错误信息
        ResponseEntity.status(HttpStatus.INTERNAL_SERVER_ERROR).body(e.message)
    }
}

自定义或禁用默认登录过滤器 #

如果你想用/sign_in作为登录接口，需要修改默认的UsernamePasswordAuthenticationFilter的路径，避免它拦截你的自定义接口：

override fun configure(http: HttpSecurity) {
    // ... 其他配置 ...
    .and().formLogin()
        .loginProcessingUrl("/sign_in") // 指定登录接口路径
    // ... 其他配置 ...
}

或者，如果你不需要Spring Security的默认登录过滤器，可以直接禁用它：

override fun configure(http: HttpSecurity) {
    // ... 其他配置 ...
    .and().formLogin().disable()
    // ... 其他配置 ...
}

内容的提问来源于stack exchange，提问作者Luiz E.