站长

<h2 id="heading-0">问题</h2>
<p>在配置了 Spring Security 白名单路径前提下，访问仍然是 401（未授权）或 403 (禁止访问)，没意外情况基本是白名单配置未生效或者路径配置错误。</p>
<p>但大多数人遇到这种问题不知如何下手，只知道被过滤器拦截，至于哪个拦截过滤器，不知道！</p>
<p>所以本篇把 Spring Security 的白名单路径加载和拦截校验的关键源码贴出来，如果再遇到这类问题便可自行调试。</p>
<p>因为 SpringBoot2 使用的 AbstractSecurityInterceptor 进行路径拦截校验，但是在 SpringBoot3 取而代之的是 AuthorizationFilter，所以这里区分两个版本，对号入座即可。</p>
<h2 id="heading-1">SpringBoot 2 + Spring Security Web 5.x</h2>
<p><strong>调试入口</strong>： AbstractSecurityInterceptor#beforeInvocation</p>
<ul>
<li>AbstractSecurityInterceptor#beforeInvocation 校验前获取白名单配置</li>
</ul>
<p><img src="https://img.blogweb.cn/article/13bfa91f814343a8b1abc24c88a44845.webp" loading="lazy" alt="Spring Security 401和403错误解析及调试：从源码到调试技巧"></p>
<h2 id="heading-2">SpringBoot 3 + Spring Security Web 6.x</h2>
<p><strong>调试入口：</strong> AuthorizationFilter#doFilter</p>
<p><strong>完整调用栈：</strong></p>
<p><img src="https://img.blogweb.cn/article/1f514168002c4721b40214789a0f25ee.webp" loading="lazy" alt="Spring Security 401和403错误解析及调试：从源码到调试技巧"></p>
<p>PatternsRequestCondition#getMatchingCondition 根据请求路径匹配白名单规则
<img src="https://img.blogweb.cn/article/e9dd2df13c7c4e5d8d817e1bda5fce5e.webp" loading="lazy" alt="Spring Security 401和403错误解析及调试：从源码到调试技巧"></p>
<p>AntPathMatcher#doMatch 请求路径匹配白名单规则具体细节逻辑，包含请求路径参数如何匹配映射</p>
<p><img src="https://img.blogweb.cn/article/fb85e148a13b4557a9e39c60d758b7a2.webp" loading="lazy" alt="Spring Security 401和403错误解析及调试：从源码到调试技巧"></p>
<h2 id="heading-3">项目源码</h2>
<p><a href="https://blogweb.cn/link?target=https://gitee.com/youlaitech/youlai-mall" target="_blank" rel="nofollow noopener noreferrer">gitee.com/youlaitech/…</a></p>

问题在配置了SpringSecurity白名单路径前提下，访问仍然是401（未授权）或403(禁止访问)，没意外情况基本是白名单配置未生效或者路径配置错误。但大多数人遇到这种问题不知如何下手，只知道被过滤器拦截，至于哪个拦截过滤器，不知道！所以本篇把SpringSecurity的白名单路径加载和拦截校验的关键源码贴出来，如果再遇到这类问题便可自行调试。因为SpringBoot2使用的Abstrac