Spring Security授权失效：如何限制/add_or_edit仅Admin可访问？

1. 检查SecurityConfig的权限配置语法 #

确保configure(HttpSecurity http)方法中对/add_or_edit的权限规则正确，注意角色前缀的适配：

• Spring Security默认会给hasRole()方法的角色参数自动添加ROLE_前缀，若数据库存储的角色为Admin，配置时可写hasRole("Admin")；若想直接匹配数据库中的角色值，改用hasAuthority("Admin")。
  正确配置示例：

  @Override
  protected void configure(HttpSecurity http) throws Exception {
      http
          .authorizeRequests()
              .antMatchers("/add_or_edit").hasRole("Admin")
              .antMatchers("/user/**").hasRole("User")
              .antMatchers("/login", "/css/**", "/js/**").permitAll()
              .anyRequest().authenticated()
          .and()
          .formLogin()
              .loginPage("/login")
              .defaultSuccessUrl("/dashboard", true)
              .permitAll()
          .and()
          .logout()
              .permitAll();
  }
  

2. 验证CustomUserDetails的角色返回格式 #

检查CustomUserDetails实现类中getAuthorities()方法的返回值：

• 若使用hasRole()，需返回带ROLE_前缀的权限对象，比如new SimpleGrantedAuthority("ROLE_Admin")；
• 若使用hasAuthority()，直接返回数据库中的角色名即可，比如new SimpleGrantedAuthority("Admin")。
  错误示例：数据库存Admin，但返回new SimpleGrantedAuthority("Admin")却用hasRole("Admin")，框架会寻找ROLE_Admin，导致匹配失败。

3. 确认SecurityConfig的注解与加载方式 #

• 确保SecurityConfig类上添加了@Configuration和@EnableWebSecurity注解；
• 检查WebAppInitializer中是否将SecurityConfig注册到根配置（而非Servlet配置），避免过滤器加载顺序异常：

  public class WebAppInitializer extends AbstractAnnotationConfigDispatcherServletInitializer {
      @Override
      protected Class<?>[] getRootConfigClasses() {
          return new Class[]{SecurityConfig.class};
      }
      // ...其他方法实现
  }
  

4. 检查请求路径的匹配规则 #

• 确认实际请求路径与配置的/add_or_edit完全一致，注意是否存在尾斜杠差异（Spring Security默认严格匹配），可使用antMatchers("/add_or_edit/**")匹配子路径；
• 确保权限规则的优先级正确：规则从上到下匹配，匹配到即停止，避免先写antMatchers("/**").permitAll()覆盖后续的/add_or_edit规则。

5. 验证CustomUserDetailsService的角色加载逻辑 #

检查loadUserByUsername()方法是否正确从数据库加载用户角色并转换为GrantedAuthority：

@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    UserEntity user = userRepository.findByUsername(username);
    if (user == null) {
        throw new UsernameNotFoundException("User not found");
    }
    List<GrantedAuthority> authorities = user.getRoles().stream()
        .map(role -> new SimpleGrantedAuthority("ROLE_" + role.getName()))
        .collect(Collectors.toList());
    return new CustomUserDetails(user.getUsername(), user.getPassword(), authorities);
}

6. 开启Spring Security调试日志 #

添加日志配置，查看授权过程的详细信息：
在application.properties或日志配置文件中添加：

logging.level.org.springframework.security=DEBUG

启动应用后访问/add_or_edit，查看日志中AuthorizationFilter相关输出，可直接看到当前用户权限、路径匹配规则、授权结果等关键信息，快速定位不匹配点。

内容的提问来源于stack exchange，提问作者DoWhileFor