Spring Security接口返回403 Forbidden问题排查求助

既然认证已成功（authenticated=true），问题肯定出在授权环节，结合你描述的其他接口正常的情况，按以下步骤逐一排查：

1. 检查控制器接口的权限注解 #

先确认接口上的权限控制注解（@PreAuthorize/@Secured/@RolesAllowed）是否和用户实际拥有的权限匹配：

• 若用@PreAuthorize("hasRole('ADMIN')")：用户权限必须带ROLE_前缀（比如ROLE_ADMIN），因为hasRole会自动拼接前缀
• 若用@PreAuthorize("hasAuthority('VIEW_ALL_USERS')")：用户权限必须和字符串完全一致（大小写、前缀都不能错）
• 若没加任何权限注解：检查Security全局配置是否对该路径设置了额外权限要求

示例错误场景：

// 接口注解要求hasAuthority("VIEW_ALL_USERS")
@GetMapping("/api/v1/client/findAllUsersByRole")
@PreAuthorize("hasAuthority('VIEW_ALL_USERS')")
public ResponseEntity<List<User>> findAllUsersByRole() { ... }

// 但JWT解析出的权限是"VIEW_USERS"（少了ALL），或者"view_all_users"（大小写不匹配）

2. 核对Security配置的路径授权规则 #

检查HttpSecurity中对该接口的路径匹配和权限配置是否正确：

• 路径是否完全匹配：比如有没有把/api/v1/client/findAllUsersByRole写成/api/v1/client/findAllUsers（少了ByRole后缀）
• 权限要求是否和接口注解冲突：比如配置里写了hasRole('ADMIN')，但接口注解要求hasAuthority('VIEW_ALL_USERS')，或者反过来
• 是否不小心把该接口归到了permitAll()或其他错误规则里

示例错误场景：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeHttpRequests(auth -> auth
        .requestMatchers("/api/v1/client/register").permitAll()
        .requestMatchers("/api/v1/client/delete/**").hasRole("ADMIN")
        // 路径少了ByRole，导致规则不匹配，走后续的anyRequest().authenticated()？不对，那应该能进接口，除非还有其他规则
        .requestMatchers("/api/v1/client/findAllUsers").hasAuthority("VIEW_ALL_USERS")
        .anyRequest().authenticated()
    );
}

3. 检查JWT过滤器的权限解析逻辑 #

确认从Token中解析权限并注入Authentication对象的过程是否正确：

• 是否把权限字符串正确转换成GrantedAuthority对象？
• 权限字符串是否和预期一致（比如有没有漏掉ROLE_前缀，或者多了多余字符）？
• 有没有把权限集合正确设置到UsernamePasswordAuthenticationToken中？

示例错误场景：

// 解析Token时只取了角色，没取权限
List<String> roles = jwt.extractRoles(token);
Collection<GrantedAuthority> authorities = roles.stream()
    .map(role -> new SimpleGrantedAuthority("ROLE_" + role))
    .collect(Collectors.toList());
// 但接口需要的是VIEW_ALL_USERS权限，而这里只注入了角色相关的权限

4. 开启Debug日志定位授权决策过程 #

在application.yml中开启Spring Security的Debug日志，查看授权决策的详细过程：

logging:
  level:
    org.springframework.security: DEBUG

重点看AffirmativeBased类的日志，比如：

DEBUG --- [nio-8080-exec-1] o.s.s.access.vote.AffirmativeBased       : Voter: org.springframework.security.web.access.expression.WebExpressionVoter@xxxx, returned: -1

• -1表示投票器拒绝了请求，结合上下文能看到具体是哪个权限不匹配
• 0表示弃权，1表示允许

常见解决方案总结 #

1. 统一权限命名规则：要么全用ROLE_前缀配合hasRole，要么用纯权限字符串配合hasAuthority，避免混用
2. 确保接口注解、Security配置、JWT解析的权限三者完全一致（大小写、字符都不能错）
3. 若使用方法级权限（@PreAuthorize），必须在启动类或配置类上添加@EnableMethodSecurity注解

内容的提问来源于stack exchange，提问作者Kok0ro