使用Spring Security时无法绕过403 Forbidden错误问题排查

1. 强制捕获认证异常 #

authenticationManager.authenticate(token)执行时若抛出异常（如凭证错误、用户禁用等），未捕获的话会直接触发Spring Security的异常处理流程，导致后续代码不执行，同时返回403/401。在调用处添加try-catch块打印完整异常栈：

try {
    Authentication auth = authenticationManager.authenticate(token);
    // 后续业务逻辑
} catch (Throwable e) {
    e.printStackTrace(); // 或用项目日志框架输出完整异常信息
}

这能直接定位认证失败的具体原因。

2. 校验权限配置与格式匹配 #

你提到执行认证前能打印用户权限，需确认：

• 数据库存储的权限格式是否符合Spring Security规则：若用hasRole()方法校验，权限必须带ROLE_前缀；用hasAuthority()则无需前缀，两者不匹配会导致认证成功后仍被拦截。
• 登录端点的安全配置是否正确：确保/login允许匿名访问，避免前置权限拦截：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/login").permitAll()
            .anyRequest().authenticated()
        .and()
        .formLogin()
            .loginProcessingUrl("/login")
            .successHandler(...)
            .failureHandler(...);
}

3. 确认认证上下文的存储 #

认证成功后需将Authentication对象存入SecurityContext，否则后续请求无法识别已认证状态：

SecurityContextHolder.getContext().setAuthentication(auth);

若遗漏此步骤，即使认证通过，Spring Security仍会判定用户未登录，返回403。

4. 验证JDBC查询语句正确性 #

检查JDBC认证的用户和权限查询语句是否返回正确字段：

• 用户查询需返回username、password、enabled三个字段；
• 权限查询需返回username、authority两个字段。
  示例配置：

@Bean
public JdbcUserDetailsManager jdbcUserDetailsManager(DataSource dataSource) {
    JdbcUserDetailsManager manager = new JdbcUserDetailsManager(dataSource);
    manager.setUsersByUsernameQuery("select username, password, enabled from users where username = ?");
    manager.setAuthoritiesByUsernameQuery("select username, authority from authorities where username = ?");
    return manager;
}

查询语句错误会导致权限加载失败，认证成功后因无权限被拦截。

5. 开启Spring Security调试日志 #

在application.properties中添加日志配置，获取认证全流程细节：

logging.level.org.springframework.security=DEBUG

日志会输出Token解析、用户查询、权限加载、认证结果、异常触发等关键信息，帮你定位authenticate方法内部的执行问题。

内容的提问来源于stack exchange，提问作者Lookup Cookie