绕过HTTP 403调试而不破坏Spring Security
内容提要
IntelliJ IDEA 2026.2 的 Spring Debugger 插件新增安全内联提示，可显示端点所需角色，并支持在调试会话中解锁 HTTP 端点授权，无需修改配置或重启。解锁仅影响指定 URI 和方法，可自定义用户名和角色，但仅限 Servlet 栈，不支持 WebFlux 和方法级安全注解。该功能需谨慎使用，适用于本地或远程调试。
延伸解读
解锁的边界与风险
解锁操作作用于运行中的进程，影响所有访问该URI和方法的客户端，包括网络上的其他请求。它仅覆盖HTTP端点授权，不涉及方法级安全注解如@PreAuthorize。解锁状态在调试会话结束或重启后清除，但远程调试时无日志或指示器提示，需谨慎使用。
与常见临时方案的对比
相比修改SecurityConfig、添加permitAll开发配置或注释过滤器等传统方法，此功能无需重启应用，也不会在配置代码中留下可能被带入生产环境的痕迹。它直接读取运行中的SecurityFilterChain，显示实际生效的授权规则，而非仅基于源码推断。
技术限制与已知问题
该功能仅支持Servlet栈，不支持WebFlux。解锁时注入的是TestingAuthenticationToken，其principal为字符串用户名，因此@AuthenticationPrincipal参数会解析为null，而声明为具体类型如JwtAuthenticationToken的参数会抛出异常。建议控制器参数使用Principal或Authentication基类型。
Q&A
IntelliJ IDEA 2026.2 的 Spring Debugger 插件如何帮助调试被 HTTP 403 阻止的请求？
该插件提供安全内联提示，显示端点所需的角色，并允许在调试会话中解锁 HTTP 端点授权，无需修改配置或重启。
如何查看 Spring MVC 端点所需的角色或权限？
在 IntelliJ IDEA 中，当请求被安全拦截时，安全内联提示会显示端点所需的角色（如 hasRole/hasAuthority 匹配器）。如果规则由自定义 AuthorizationManager 定义，则显示为未知锁图标。
解锁 Spring Security 端点时，影响范围是什么？
解锁仅影响指定的 URI 和 HTTP 方法，例如解锁 GET /admin/users/42 不会影响 POST 或 GET /admin/users/99。如果解锁控制器中的路径模式，则匹配该模式的所有路径都会解锁。
解锁端点后，安全状态会持续多久？
解锁仅在当前调试会话期间有效，直到您重新锁定或重启应用（包括 Spring Boot DevTools 重启）。重启后所有解锁都会清除。
解锁端点时，是否可以自定义用户名和角色？
可以。在内联提示的弹出菜单中，您可以指定用户名和自定义角色列表，例如输入 admin 和 ROLE_ADMIN, ROLE_MANAGER，以测试特定权限集下的行为。
Spring Security 解锁功能支持哪些技术栈？
目前仅支持 Servlet 栈，因为解锁挂钩的是 Spring Security 的 AuthorizationFilter。WebFlux 使用不同的过滤器（AuthorizationWebFilter），暂不支持。
解锁功能是否支持方法级安全注解，如 @PreAuthorize？
不支持直接针对方法级安全注解（如 @PreAuthorize、@PostAuthorize、@Secured）的解锁。但如果注入的权限满足方法级检查，这些检查仍会通过，因为方法安全拦截器读取相同的 SecurityContext。
使用解锁功能时，@AuthenticationPrincipal 参数会怎样？
@AuthenticationPrincipal 注解的参数会解析为 null，这是一个已知问题（IDEA-389767）。建议使用 Principal 或 Authentication 类型作为控制器方法参数，而不是具体子类型。
解锁功能是否会影响 CSRF 保护？
不会。解锁不会绕过 CSRF 过滤器，对于需要 CSRF 令牌的请求（如 POST/PUT/DELETE），仍需提供有效令牌或配置 CSRF 豁免。
解锁功能是否适用于远程 JVM 调试？
是的，安全内联提示和解锁功能适用于远程 JVM，包括共享或暂存环境。但请注意，远程应用上没有日志或指示器显示解锁状态，只能通过附加的 IDE 编辑器中的内联提示查看。
