Spring Boot @PreAuthorize注解权限验证失效问题求助

针对Spring 6.0.4中@PreAuthorize无法识别用户角色、抛出AccessDeniedException的问题，结合你的场景给出以下排查和解决步骤：

1. 修正控制器类的访问权限 #

你的TicketController是包私有访问权限（未加public修饰），Spring无法为包私有类生成代理对象，导致@PreAuthorize注解完全不生效。必须将控制器改为public类：

@RequestMapping("/ticket")
@RestController
public class TicketController { // 加上public修饰符
    @PreAuthorize("hasAuthority('ROLE_ADMIN')")
    @PostMapping("/save")
    public TicketDto createTicket(@RequestBody @Valid TicketDto ticketDto) {
        // 方法代码省略
    }
}

2. 明确配置@EnableMethodSecurity参数 #

Spring 6+中@EnableMethodSecurity虽默认开启prePostEnabled，但显式配置可避免潜在的配置遗漏，同时确保JSR250注解生效：

@Configuration
@EnableWebSecurity
@RequiredArgsConstructor
@EnableMethodSecurity(prePostEnabled = true, jsr250Enabled = true)
@EnableJpaAuditing(auditorAwareRef = "auditorAware")
public class SecurityConfig { // 建议改为public类，避免代理问题
    // 配置代码省略
}

注：移除不必要的@EnableAspectJAutoProxy，若必须使用AspectJ代理，需指定proxyTargetClass = true，否则可能与Spring Security的动态代理冲突。

3. 确保GrantedAuthority的正确构造 #

getAuthorities()方法必须返回SimpleGrantedAuthority实例，且权限字符串严格匹配（区分大小写）。示例实现：

@Override
public Collection<? extends GrantedAuthority> getAuthorities() {
    // 假设用户角色存储为字符串集合，如["ROLE_ADMIN"]
    return this.roles.stream()
            .map(SimpleGrantedAuthority::new)
            .collect(Collectors.toList());
}

自定义GrantedAuthority实现需重写equals()和hashCode()方法，否则Spring Security无法正确匹配权限。

4. 验证SecurityContext中的Authentication #

在控制器方法中添加日志，确认当前线程的SecurityContext是否持有正确的权限信息：

@PreAuthorize("hasAuthority('ROLE_ADMIN')")
@PostMapping("/save")
public TicketDto createTicket(@RequestBody @Valid TicketDto ticketDto) {
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    log.info("当前用户权限列表：{}", auth.getAuthorities());
    // 方法代码省略
}

若日志中未显示ROLE_ADMIN，说明登录逻辑未正确将Authentication绑定到SecurityContext，需检查登录成功后的代码是否执行了SecurityContextHolder.getContext().setAuthentication(auth)。

5. 排除过滤器链配置干扰 #

检查SecurityConfig的过滤器链配置，确保未将/ticket/save路径加入permitAll()或忽略列表，否则方法级安全会被跳过：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .anyRequest().authenticated() // 确保所有请求需认证，方法级安全才会生效
        )
        // 其他配置...
    return http.build();
}

内容的提问来源于stack exchange，提问作者lapartman