Spring Security 6.1.4迁移：XML配置hasAnyRole()引发403问题求助

核心问题 #

你遇到的403问题源于Spring Security 6.x对SpEL表达式中hasAnyRole的参数格式要求更严格，和旧版本（4.x）的兼容行为存在差异。

在你的原配置中：

<security:intercept-url pattern="/pages/client/**" access="hasAnyRole('BROKERPERSON, BROKERPERSONVIEW, PROCESSOWNER')" />

你将多个角色放在了同一个单引号包裹的字符串里，Spring Security会把整个内容当作单个角色名处理，自动加上默认的ROLE_前缀后，实际匹配的角色是ROLE_BROKERPERSON, BROKERPERSONVIEW, PROCESSOWNER——这显然和你用户上下文里的ROLE_BROKERPERSON、ROLE_PROCESSOWNER完全不匹配，因此返回403。

而旧版本Spring Security 4.x会自动解析逗号分隔的字符串，将其拆分为多个角色逐一匹配，所以当时没有出现问题。

正确配置写法 #

把每个角色作为独立的字符串参数传入hasAnyRole，每个角色单独用单引号包裹，用逗号分隔：

<security:intercept-url pattern="/pages/client/**" access="hasAnyRole('BROKERPERSON', 'BROKERPERSONVIEW', 'PROCESSOWNER')" />

这样Spring Security会分别检查用户是否拥有ROLE_BROKERPERSON、ROLE_BROKERPERSONVIEW或ROLE_PROCESSOWNER中的任意一个，和你用户上下文的权限匹配后，就能正常访问页面。

临时方案生效的原因 #

你拆分多个hasRole的写法能生效，是因为每个hasRole('XXX')都正确传入了单个角色名，Spring Security会依次检查这些规则，只要有一个规则匹配就允许访问，效果和正确的hasAnyRole写法完全一致。

内容的提问来源于stack exchange，提问作者tz007