Spring Boot登录安全接口返回403错误，用户无法登录如何解决？

403错误核心原因是权限校验拦截或认证流程配置异常，结合你提供的认证代码，从以下几个方向排查修复：

1. 放行登录接口的Security配置 #

如果Spring Security默认拦截了登录请求，会直接返回403。需要在Security配置中将登录接口加入匿名访问白名单：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .csrf(csrf -> csrf.disable()) // POST类型的登录接口通常需要关闭CSRF，或配置CSRF令牌逻辑
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/api/auth/login").permitAll() // 替换为你的实际登录接口路径
            .anyRequest().authenticated()
        );
    return http.build();
}

2. 确保AuthenticationManager正确注入 #

若authenticationManager未正确配置，会导致认证逻辑异常触发权限拦截。需在配置类中暴露AuthenticationManager实例：

@Bean
public AuthenticationManager authenticationManager(AuthenticationConfiguration config) throws Exception {
    return config.getAuthenticationManager();
}

同时，你的UserDetailsService实现类必须能正确返回包含权限信息的用户对象——即使是普通用户，也需至少拥有一个基础权限（比如ROLE_USER）。

3. 修复用户权限集合为空的问题 #

如果查询到的User对象没有配置任何权限/角色，Spring Security会判定用户无权限，进而返回403。确保User实体类实现UserDetails接口时，正确返回权限集合：

@Override
public Collection<? extends GrantedAuthority> getAuthorities() {
    // 示例：返回基础用户角色，避免返回空集合
    return Collections.singletonList(new SimpleGrantedAuthority("ROLE_USER"));
}

4. 排查JWT过滤器的拦截范围 #

如果项目中使用了JWT认证过滤器，需确保过滤器不拦截登录接口，且执行顺序正确。若过滤器错误拦截登录请求，会因请求无JWT令牌直接返回403。

5. 配置密码加密规则 #

若用户密码未加密存储，但AuthenticationManager默认要求加密密码，会导致认证失败触发403。需配置PasswordEncoder并确保密码存储时已加密：

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

用户注册/密码修改时，必须使用该编码器加密后再存入数据库。

内容的提问来源于stack exchange，提问作者Amira Kamal