Spring Security中OAuth2角色映射后@RolesAllowed失效问题排查

1. 未启用JSR-250方法安全注解支持 #

@RolesAllowed属于JSR-250规范注解，默认不会自动生效，必须在Security配置类中显式开启：

@Configuration
@EnableGlobalMethodSecurity(jsr250Enabled = true) // 关键：开启JSR-250注解支持
public class SecurityConfig {
    // 你的其他配置代码
}

如果只开启了prePostEnabled = true（对应@PreAuthorize/@PostAuthorize），@RolesAllowed依然不会生效。

2. 角色名称匹配不一致 #

检查日志中输出的Granted Authorities字符串和@RolesAllowed中指定的名称是否完全一致：

• 若日志显示权限为[ROLE_admin]，则注解需写@RolesAllowed("ROLE_admin")
• 若你的GrantedAuthoritiesMapper已去掉ROLE_前缀，日志显示[admin]，则注解写@RolesAllowed("admin")
  大小写、前缀/后缀的差异都会导致验证不通过。

3. 方法所在类未被Spring管理 #

只有当标注@RolesAllowed的方法所在类是Spring Bean时（比如加了@Controller、@Service、@Component等注解），Spring Security才会拦截并处理注解逻辑。如果类是手动new出来的，注解不会生效。

4. HTTP安全配置跳过了认证 #

如果你的Security配置中设置了全局放行规则，会导致方法级注解的验证被跳过：

// 错误示例：完全放行会跳过方法安全验证
.authorizeHttpRequests(auth -> auth.anyRequest().permitAll())

正确配置应确保所有请求至少需要认证：

.authorizeHttpRequests(auth -> auth.anyRequest().authenticated())

5. JwtAuthenticationConverter未关联自定义Mapper #

确认你的JWT转换器正确使用了自定义的GrantedAuthoritiesMapper，否则转换后的权限不会被纳入认证上下文：

@Bean
public JwtAuthenticationConverter jwtAuthenticationConverter() {
    JwtAuthenticationConverter converter = new JwtAuthenticationConverter();
    converter.setJwtGrantedAuthoritiesMapper(yourCustomAuthoritiesMapper()); // 关联自定义Mapper
    return converter;
}

内容的提问来源于stack exchange，提问作者Ace of Spade