SecurityFilterChain配置后管理员无法访问指定端点问题

1. 角色前缀匹配问题 #

Spring Security默认对hasRole()方法会自动添加ROLE_前缀。如果数据库中存储的角色是ADMIN，但配置里用了：

.authorizeHttpRequests(auth -> auth
    .requestMatchers("/users/**").hasRole("ADMIN")
    // 其他规则
)

此时实际需要的权限是ROLE_ADMIN，但数据库里是ADMIN，会导致权限匹配失败。

两种解决方式：

• 改用hasAuthority()方法，直接匹配数据库中的角色值：

  .requestMatchers("/users/**").hasAuthority("ADMIN")
  

• 或者在EndToEndUserDetails的getAuthorities()方法中给角色添加ROLE_前缀：

  @Override
  public Collection<? extends GrantedAuthority> getAuthorities() {
      return AuthorityUtils.createAuthorityList("ROLE_" + this.role);
  }
  

2. 验证UserDetails的权限返回是否正确 #

检查EndToEndUserDetails类的getAuthorities()方法，确保它正确返回了用户的角色权限。比如数据库角色是ADMIN，该方法应返回包含ADMIN（或ROLE_ADMIN，取决于你用hasAuthority还是hasRole）的GrantedAuthority集合。

可以在EndToEndUserDetailsService的loadUserByUsername()方法中加日志，确认加载的用户角色：

public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    User user = userService.findByUsername(username);
    System.out.println("当前加载用户角色：" + user.getRole());
    return new EndToEndUserDetails(user);
}

登录时查看日志，确认角色确实是ADMIN。

3. 检查SecurityFilterChain的规则顺序 #

Spring Security的规则是从上到下匹配，如果/users/**的规则被放在宽泛规则之后，比如：

.authorizeHttpRequests(auth -> auth
    .anyRequest().authenticated()
    .requestMatchers("/users/**").hasRole("ADMIN")
)

anyRequest()会先匹配所有请求，导致后面的/users/**规则失效。

正确顺序是把具体规则放在前面：

.authorizeHttpRequests(auth -> auth
    .requestMatchers("/users/**").hasAuthority("ADMIN")
    .anyRequest().authenticated()
)

4. 确认数据库角色是否被正确加载 #

虽然你修改了数据库角色为ADMIN，但要确保userService.findByUsername()确实读取了最新数据，而非缓存或旧数据。可以直接查询数据库确认角色字段值，同时检查用户服务类是否有@Cacheable等缓存注解导致数据未更新。

内容的提问来源于stack exchange，提问作者Veaceslav Antoci