使用OAuth 2.0 Resource Server JWT时的权限授权异常问题

根据你提供的Token和问题描述，核心问题是Spring Security默认不会从JWT的roles字段提取权限，导致即使Token包含正确权限，也无法匹配授权规则。以下是具体解决步骤：

1. 确认Token权限内容 #

解码你提供的Token后，payload中的权限字段为：

"roles": "ROLE_ADMIN"

Spring Security默认会从scope或scp字段提取权限，因此需要自定义转换器来读取roles字段。

2. 自定义JWT权限转换器 #

在你的SecurityConfig中添加自定义JwtAuthenticationConverter，指定从roles字段提取权限：

@Bean
public JwtAuthenticationConverter jwtAuthenticationConverter() {
    JwtGrantedAuthoritiesConverter authoritiesConverter = new JwtGrantedAuthoritiesConverter();
    // 设置从"roles"字段读取权限
    authoritiesConverter.setAuthoritiesClaimName("roles");
    // 由于Token中权限已带ROLE_前缀，无需额外添加（若用hasRole()方法，Spring会自动匹配ROLE_前缀）
    // authoritiesConverter.setAuthorityPrefix(""); // 仅当Token权限无前缀时启用

    JwtAuthenticationConverter converter = new JwtAuthenticationConverter();
    converter.setJwtGrantedAuthoritiesConverter(authoritiesConverter);
    return converter;
}

3. 配置资源服务器使用自定义转换器 #

修改SecurityFilterChain配置，将自定义转换器绑定到JWT资源服务器：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            // 示例：要求/admin/**端点需要ADMIN角色
            .requestMatchers("/admin/**").hasRole("ADMIN")
            // 其他端点需认证
            .anyRequest().authenticated()
        )
        .oauth2ResourceServer(oauth2 -> oauth2
            .jwt(jwt -> jwt
                .jwtAuthenticationConverter(jwtAuthenticationConverter())
            )
        );
    return http.build();
}

4. 关键注意事项 #

• 若使用hasRole("ADMIN")，Spring Security会自动查找ROLE_ADMIN权限，与你Token中的内容完全匹配，无需额外处理前缀。
• 若使用hasAuthority("ROLE_ADMIN")，直接匹配Token中的完整权限字符串即可。
• 确保资源服务器已正确配置JWT验证密钥（如通过spring.security.oauth2.resourceserver.jwt.jwk-set-uri或public-key），你提到认证正常，这部分应该没问题。

内容的提问来源于stack exchange，提问作者Gustavo Cruz