Vaadin集成Spring Security SSO后无法获取角色的问题排查

针对你遇到的@RolesAllowed标注视图无法访问，但@PermitAll视图正常的问题，按以下步骤排查解决：

1. 开启JSR-250注解支持 #

@RolesAllowed属于JSR-250规范注解，必须在Spring Security配置类中显式开启支持，否则注解不会生效：

@Configuration
@EnableWebSecurity
@EnableMethodSecurity(jsr250Enabled = true) // 启用@RolesAllowed注解支持
public class SecurityConfig extends VaadinWebSecurity {
    // 其他配置代码
}

2. 校验用户实际权限集合 #

在可访问的TestView中添加代码，打印当前用户的权限详情，确认SSO返回的角色是否与注解要求匹配：

@PermitAll
@Route("test")
public class TestView extends VerticalLayout {
    public TestView() {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        add(new Text("用户名：" + auth.getName()));
        add(new Text("权限列表：" + auth.getAuthorities().stream()
                .map(GrantedAuthority::getAuthority)
                .collect(Collectors.joining(", "))));
    }
}

如果输出的权限是ADMIN而非ROLE_ADMIN，需处理角色前缀问题；如果权限大小写不匹配（比如admin），则需要统一大小写。

3. 处理角色前缀/大小写问题 #

Spring Security默认会为角色添加ROLE_前缀，若SSO返回的角色无此前缀，需自定义权限转换器：

@Bean
public GrantedAuthoritiesMapper userAuthoritiesMapper() {
    return authorities -> authorities.stream()
            // 为SSO返回的角色添加ROLE_前缀，并统一为大写
            .map(auth -> new SimpleGrantedAuthority("ROLE_" + auth.getAuthority().toUpperCase()))
            .collect(Collectors.toList());
}

然后在Security配置中关联此转换器：

@Override
protected void configure(HttpSecurity http) throws Exception {
    super.configure(http);
    setLoginView(http, LoginView.class);
    http.oauth2Login(oauth2 -> oauth2
            .userInfoEndpoint(userInfo -> userInfo
                    .userAuthoritiesMapper(userAuthoritiesMapper())
            )
    );
}

4. 确认Vaadin路径权限配置 #

确保MainView的路由路径已被正确授权，在SecurityConfig中添加路径匹配规则：

@Override
protected void configure(HttpSecurity http) throws Exception {
    super.configure(http);
    setLoginView(http, LoginView.class);
    http.authorizeHttpRequests()
            // 假设MainView的路由是@Route("main")
            .requestMatchers("/main").hasAnyRole("ADMIN")
            .requestMatchers(VaadinWebSecurity.authenticatedPaths()).authenticated();
}

注意：hasAnyRole会自动添加ROLE_前缀，若使用hasAnyAuthority则需完整指定权限名（如ROLE_ADMIN或ADMIN）。

5. 临时排查CSRF问题 #

若上述步骤无效，可临时禁用CSRF验证排查是否为跨域问题（生产环境需谨慎）：

@Override
protected void configure(HttpSecurity http) throws Exception {
    super.configure(http);
    http.csrf(csrf -> csrf.disable());
}

内容的提问来源于stack exchange，提问作者Alex