REST API配置permitAll()仍返回401而非200问题求助

开发了一个REST API，部分接口受保护，部分为公开接口。即便为/bookstore/find、/actuator/health、/error这些端点配置了permitAll()，请求时仍返回401响应，而非预期的200。

SecurityConfig代码 #

public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.disable()) // Disable CSRF for stateless REST APIs
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/bookstore/find", "/actuator/health", "/error").permitAll() // Public endpoint
                .requestMatchers("/bookstore").hasRole("ADMIN") // Admin only
                .requestMatchers("/bookstore").authenticated() // Any authenticated user
                .anyRequest().authenticated() // All other endpoints require auth
            )
            .httpBasic(Customizer.withDefaults()); // Enable HTTP Basic Authentication

        return http.build();
    }

测试代码 #

@Test
    public void whenRequestGetFind_thenOK() {
        log.info("whenRequestGetFind_thenOK()");
        given().log().uri().when().get("/bookstore/find");
        Response response = RestAssured.get("/bookstore/find?title=SomeTitle&author=SomeAuthor");
        response.then().assertThat().statusCode(200).log().all();
        //response.then().assertThat().body("some.property", equalTo("expected value"));
    }

测试结果 #

预期状态码<200>，实际返回<401>。

• 请求方法未明确匹配：当前requestMatchers仅指定路径，未限定请求方法。若/bookstore/find是GET接口，后续anyRequest().authenticated()可能因匹配逻辑误拦截请求。修改为明确指定请求方法：

  .requestMatchers(HttpMethod.GET, "/bookstore/find", "/actuator/health").permitAll()
  

  另外，/error是Spring Boot自动处理的端点，手动配置permitAll()可能引发冲突，建议移除该路径的配置。

• 应用上下文路径未匹配：如果应用部署时设置了上下文路径（比如server.servlet.context-path=/api），测试代码直接请求/bookstore/find会触发404，进而跳转到/error端点，最终因权限配置异常返回401。需在测试中指定上下文路径：

  RestAssured.basePath = "/api";
  // 或者在请求中指定
  given().basePath("/api").log().uri().when().get("/bookstore/find");
  

• Actuator端点配置冲突：/actuator/health返回401可能是因为Actuator的默认安全配置未被覆盖。需在application.properties中添加：

  management.endpoints.web.exposure.include=health
  management.endpoint.health.show-details=always
  

  同时确保SecurityConfig中对该路径的permitAll()配置生效。

• 规则重复配置干扰：/bookstore同时配置了hasRole("ADMIN")和authenticated()，虽然不直接影响/bookstore/find，但可能导致配置解析异常。建议合并规则：

  .requestMatchers("/bookstore").hasRole("ADMIN")
  

  因为hasRole已经包含authenticated的校验逻辑，无需重复配置。

• SecurityFilterChain优先级问题：若存在多个SecurityFilterChain Bean，当前配置可能未生效。在SecurityConfig类上添加@Order(1)注解，确保其优先级高于其他安全配置。

内容的提问来源于stack exchange，提问作者SAF SAF