Spring Security集成JWT始终返回403错误，请求技术排查

以下是针对该问题的常见排查方向和验证步骤：

1. 权限注入环节校验 #

• 检查JWT过滤器（如自定义JwtAuthenticationFilter）的逻辑：确认是否从JWT Claims中正确提取权限字段（比如authorities），并将其转换为GrantedAuthority集合后，存入Authentication对象。如果权限未被正确注入，Spring Security会判定用户无访问权限。
• 核对权限前缀匹配规则：若配置了hasRole("USER")，则JWT中的权限值需要是ROLE_USER（Spring Security默认前缀）；如果不想使用前缀，需在配置中通过rolePrefix("")取消前缀校验。

2. SecurityFilterChain配置检查 #

• 验证规则顺序：Spring Security的拦截规则是从上到下优先匹配，如果permitAll()规则写在authenticated()/hasRole()之后，会导致受保护规则不生效。
• 确认CSRF状态：JWT认证场景下必须关闭CSRF，否则会因缺少CSRF Token返回403，配置方式为csrf(csrf -> csrf.disable())。
• 检查过滤器位置：JWT过滤器必须添加在UsernamePasswordAuthenticationFilter之前，确保请求先完成JWT解析认证，示例代码：

  http.addFilterBefore(jwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class);
  

3. 权限匹配一致性验证 #

• 确认JWT生成逻辑：检查生成JWT时是否正确将用户的角色/权限写入Claims，比如端点要求hasRole("ADMIN")，但JWT中仅包含ROLE_USER，必然触发403。
• 核对UserDetailsService实现：确保该服务返回的UserDetails对象包含正确的权限集合，这是JWT权限写入的数据源。

4. 利用Trace日志定位 #

• 重点关注AuthorizationFilter相关日志：

  若日志中出现Authorization failed: AccessDeniedException，可跟踪上下文里的Authentication对象，查看其authorities字段是否为空或与端点要求不匹配。

• 确认SecurityContextHolder是否被正确赋值：如果JWT认证成功但未将Authentication对象存入上下文，后续权限校验会判定为未认证状态。

5. 针对你仓库代码的细节检查 #

• 查看SecurityConfig类：确认受保护端点的权限规则是否配置正确，避免出现规则顺序颠倒、权限表达式写错（比如混淆hasRole和hasAuthority）等问题。
• 验证JwtService的权限解析逻辑：检查extractAuthorities方法是否能正确从JWT中解析出权限列表，避免因JSON解析错误或字段名称不匹配导致权限为空。

内容的提问来源于stack exchange，提问作者user20466708