Spring Security OAuth2资源服务器JWT认证角色加载异常排查

根据你描述的现象——注册时角色返回正常，登录后当前用户权限为空但其他用户权限正常，以下是几个核心排查方向及解决思路：

1. 检查UserDetails加载时的角色初始化逻辑 #

如果你的UserService实现了UserDetailsService，在loadUserByUsername方法中，确保当前用户的roles集合被主动加载，而非依赖懒加载：

@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    User user = userRepository.findByUsername(username)
            .orElseThrow(() -> new UsernameNotFoundException("User not found"));
    // 主动触发角色集合加载，避免懒加载导致的空集合
    user.getRoles().size(); 
    return new org.springframework.security.core.userdetails.User(
            user.getUsername(),
            user.getPassword(),
            user.getRoles().stream()
                    .map(role -> new SimpleGrantedAuthority("ROLE_" + role.getName()))
                    .collect(Collectors.toList())
    );
}

注：如果User和Role是多对多懒加载关联（@ManyToMany(fetch = FetchType.LAZY)），登录时加载User对象后，roles集合未被访问过，会处于未初始化状态，导致后续生成JWT时无法获取权限。

2. 验证JWT Token生成时的权限注入逻辑 #

检查TokenService中生成JWT的代码，确保用户权限被正确写入Token的authorities或scope字段：

public String generateToken(UserDetails userDetails) {
    Map<String, Object> claims = new HashMap<>();
    // 确保正确提取并转换用户权限
    Collection<? extends GrantedAuthority> authorities = userDetails.getAuthorities();
    claims.put("authorities", authorities.stream()
            .map(GrantedAuthority::getAuthority)
            .collect(Collectors.toList()));
    
    return Jwts.builder()
            .setClaims(claims)
            .setSubject(userDetails.getUsername())
            .setIssuedAt(new Date(System.currentTimeMillis()))
            .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
            .signWith(SignatureAlgorithm.HS512, SECRET_KEY)
            .compact();
}

排查点：是否在生成Token时，userDetails.getAuthorities()返回的是空集合？如果是，回到UserDetails加载逻辑找问题。

3. 检查资源服务器的权限解析配置 #

在SecurityConfiguration中，确保JwtAuthenticationConverter正确配置，能从Token中提取权限：

@Bean
public JwtAuthenticationConverter jwtAuthenticationConverter() {
    JwtGrantedAuthoritiesConverter grantedAuthoritiesConverter = new JwtGrantedAuthoritiesConverter();
    // 如果Token中权限前缀不是ROLE_，需要设置对应的前缀
    grantedAuthoritiesConverter.setAuthorityPrefix("ROLE_");
    // 指定从Token的哪个字段提取权限，默认是scope/authorities
    grantedAuthoritiesConverter.setAuthoritiesClaimName("authorities");
    
    JwtAuthenticationConverter converter = new JwtAuthenticationConverter();
    converter.setJwtGrantedAuthoritiesConverter(grantedAuthoritiesConverter);
    return converter;
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.oauth2ResourceServer()
            .jwt()
            .jwtAuthenticationConverter(jwtAuthenticationConverter());
}

注：如果Token中存储权限的字段名不是默认的scope，必须通过setAuthoritiesClaimName指定，否则Spring Security无法解析到权限。

4. 排查实体类关联的序列化问题 #

如果登录接口返回的用户信息中authorities为空，检查User实体类的roles集合是否被正确序列化：

• 若使用Jackson序列化，确保添加@JsonManagedReference/@JsonBackReference解决多对多关联的循环引用问题，同时确保懒加载集合被初始化：

@Entity
public class User {
    // ...其他字段
    @ManyToMany(fetch = FetchType.EAGER) // 或者改为EAGER（不推荐大数据量场景）
    @JoinTable(name = "user_roles",
            joinColumns = @JoinColumn(name = "user_id"),
            inverseJoinColumns = @JoinColumn(name = "role_id"))
    @JsonManagedReference
    private Set<Role> roles;
    
    // getter/setter
}

不建议全局使用EAGER加载，优先在UserDetails加载时主动触发懒加载集合的初始化。

内容的提问来源于stack exchange，提问作者Crazy Coder