自定义权限认证后@PermitAll注解失效，请求返回401问题咨询

@PermitAll确实允许所有用户（包括未认证的匿名用户）访问接口，但你的场景中返回401，问题大概率出在自定义认证组件的逻辑上，而非@PermitAll本身。以下是具体原因和修复方向：

1. 自定义SessionAuthenticationMechanism错误拦截了未认证请求 #

Quarkus中AuthenticationMechanism的authenticate方法返回值决定了后续流程：

• 返回AuthenticationMechanismOutcome.SUCCESS：认证通过
• 返回AuthenticationMechanismOutcome.NOT_ATTEMPTED：表示该机制不处理当前请求，交由授权层（如@PermitAll）判断
• 抛出AuthenticationFailedException：直接触发401错误

如果你的自定义SessionAuthenticationMechanism在检测到无会话时直接抛出异常，而非返回NOT_ATTEMPTED，就会导致@PermitAll接口被提前拦截返回401。

修复示例：

@Override
public Uni<AuthenticationMechanismOutcome> authenticate(RoutingContext context, IdentityProviderManager identityProviderManager) {
    // 尝试获取会话信息
    Session session = getSessionFromContext(context);
    if (session == null || !session.isValid()) {
        // 无有效会话时，返回NOT_ATTEMPTED，让授权层处理@PermitAll
        return Uni.createFrom().item(AuthenticationMechanismOutcome.NOT_ATTEMPTED);
    }
    // 有有效会话时，继续执行认证逻辑
    return identityProviderManager.authenticate(new SessionAuthenticationRequest(session), SessionIdentityProvider.class)
            .map(AuthenticationMechanismOutcome::SUCCESS);
}

2. SessionIdentityProvider未正确处理匿名场景 #

如果你的SessionIdentityProvider在validateCredentials方法中，对未携带会话的请求直接返回失败，也会触发401。正确逻辑应该是：当请求不需要认证（比如@PermitAll接口），允许匿名身份通过。

修复示例：

@Override
public Uni<SecurityIdentity> validateCredentials(Credentials credentials, IdentityProviderContext context) {
    if (!(credentials instanceof SessionAuthenticationRequest)) {
        // 非会话认证请求，返回匿名身份
        return Uni.createFrom().item(SecurityIdentity.Anonymous.INSTANCE);
    }
    // 处理会话认证逻辑
    SessionAuthenticationRequest req = (SessionAuthenticationRequest) credentials;
    if (req.getSession().isValid()) {
        // 构建已认证的SecurityIdentity
        return Uni.createFrom().item(buildAuthenticatedIdentity(req.getSession()));
    }
    // 会话无效时，返回匿名身份而非抛出异常
    return Uni.createFrom().item(SecurityIdentity.Anonymous.INSTANCE);
}

3. 排查配置与其他拦截逻辑冲突 #

• 确认quarkus.http.auth.proactive=false配置已生效（可通过Quarkus配置端点/q/config验证）
• 检查是否存在自定义JAX-RS过滤器、拦截器，在认证机制之前就拒绝了未认证请求

内容的提问来源于stack exchange，提问作者zi bao