Spring Security 6+配置：已认证用户无角色时返回403权限拒绝

要实现“已认证但无角色的用户无法访问仅要求认证的端点，仅允许至少拥有一个角色的用户访问”的需求，你可以通过以下几种方式配置：

方式1：使用SpEL表达式快速实现 #

在HttpSecurity配置中，用自定义的SpEL表达式替代默认的authenticated()规则，直接检查用户是否拥有至少一个角色：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                // 放行公开资源（登录页、静态文件等）
                .requestMatchers("/login", "/static/**").permitAll()
                // 要求已认证且至少拥有一个角色
                .anyRequest().access("isAuthenticated() and hasAnyRole('ROLE_')")
            )
            .formLogin().permitAll()
            .logout().permitAll();
        
        return http.build();
    }

    // 此处需配置UserDetailsService、PasswordEncoder等基础组件，根据你的数据源调整
}

说明：hasAnyRole('ROLE_')利用了Spring Security的角色前缀规则（默认前缀为ROLE_），当传入空的角色参数时，它会检查用户是否拥有任何以ROLE_开头的权限（即角色）。若用户无任何角色，该表达式返回false，拒绝访问。

方式2：自定义权限评估器（适用于复杂逻辑） #

如果需要更灵活的权限判断逻辑（比如自定义角色前缀、额外的用户属性检查），可以实现自定义PermissionEvaluator：

1. 实现PermissionEvaluator #

public class AnyRolePermissionEvaluator implements PermissionEvaluator {

    @Override
    public boolean hasPermission(Authentication auth, Object target, Object permission) {
        // 验证已认证，且至少拥有一个角色（这里假设角色前缀为ROLE_）
        return auth.isAuthenticated() 
                && !auth.getAuthorities().isEmpty()
                && auth.getAuthorities().stream()
                        .anyMatch(authority -> authority.getAuthority().startsWith("ROLE_"));
    }

    @Override
    public boolean hasPermission(Authentication auth, Serializable targetId, String targetType, Object permission) {
        // 针对资源ID的权限检查，复用上述逻辑
        return hasPermission(auth, null, permission);
    }
}

2. 集成到Spring Security配置 #

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login", "/static/**").permitAll()
                // 调用自定义评估器判断权限
                .anyRequest().access("@anyRolePermissionEvaluator.hasPermission(authentication, null, null)")
            )
            .formLogin().permitAll()
            .logout().permitAll();
        
        return http.build();
    }

    @Bean
    public AnyRolePermissionEvaluator anyRolePermissionEvaluator() {
        return new AnyRolePermissionEvaluator();
    }

    // 省略UserDetailsService、PasswordEncoder等配置
}

方式3：方法级安全控制 #

如果需要针对单个Controller方法做权限控制，可以使用@PreAuthorize注解结合SpEL表达式：

@RestController
@RequestMapping("/api")
public class ProtectedController {

    @GetMapping("/data")
    @PreAuthorize("isAuthenticated() and hasAnyRole('ROLE_')")
    public String getProtectedData() {
        return "仅拥有至少一个角色的已认证用户可访问此接口";
    }
}

注意：要启用方法级安全，需在配置类上添加@EnableGlobalMethodSecurity(prePostEnabled = true)注解。

关键注意点 #

• 确认你的用户角色在授予时带有ROLE_前缀（Spring Security默认行为），如果自定义了前缀，需要同步调整表达式或评估器中的前缀判断逻辑。
• 测试时覆盖三种场景：未认证用户、已认证但无角色用户、已认证且有角色用户，确保权限规则生效。

内容的提问来源于stack exchange，提问作者yaroslav96