Spring Boot中Spring Security角色权限失效，请求返回403错误

1. 修复安全规则顺序错误 #

Spring Security的请求匹配规则按配置顺序从上到下生效，先匹配到的规则会直接覆盖后续规则。你当前的配置中，第一个规则会拦截所有ADMIN_URL的请求，导致后面的HTTP方法级权限校验永远不会执行。

错误配置片段： #

.requestMatchers(ADMIN_URL).hasRole(ADMIN.name())
.requestMatchers(HttpMethod.GET,ADMIN_URL).hasAuthority("ROLE_"+ADMIN_READ.name())
.requestMatchers(HttpMethod.POST,ADMIN_URL).hasAuthority(ADMIN_CREATE.name())
.requestMatchers(HttpMethod.PUT,ADMIN_URL).hasAuthority(ADMIN_UPDATE.name())
.requestMatchers(HttpMethod.DELETE,ADMIN_URL).hasAuthority(ADMIN_DELETE.name())

正确配置片段： #

将更具体的HTTP方法级规则放在前面，通用角色规则放在最后：

.requestMatchers(HttpMethod.GET,ADMIN_URL).hasAuthority(ADMIN_READ.name())
.requestMatchers(HttpMethod.POST,ADMIN_URL).hasAuthority(ADMIN_CREATE.name())
.requestMatchers(HttpMethod.PUT,ADMIN_URL).hasAuthority(ADMIN_UPDATE.name())
.requestMatchers(HttpMethod.DELETE,ADMIN_URL).hasAuthority(ADMIN_DELETE.name())
.requestMatchers(ADMIN_URL).hasRole(ADMIN.name())

2. 校验权限字符串一致性 #

你的Role.getAuthorities()方法中，是将Permissions的枚举名（如ADMIN_READ）作为权限字符串添加到认证信息中，这和安全配置中使用的ADMIN_READ.name()逻辑一致，但需要确认：

• JWT生成时，已正确将Role.getAuthorities()返回的所有权限（含ROLE_ADMIN角色）写入令牌的权限字段
• JWT解析时，已正确提取这些权限字符串并转换为SimpleGrantedAuthority对象，添加到用户认证信息中

3. 额外验证步骤 #

• 使用JWT解析工具查看令牌内容，确认包含ADMIN_READ、ADMIN_CREATE等权限项，以及ROLE_ADMIN角色项
• 检查用户数据，确认该用户确实被分配了ADMIN角色，且角色关联的权限集已正确加载

内容的提问来源于stack exchange，提问作者Omotoso Iyanu