Spring WebClient调用带角色权限接口遇未授权，如何配置？

你的接口同时通过方法级@PreAuthorize和URL级Spring Security配置做了角色权限控制，WebClient调用返回未授权的核心原因是：请求没有携带合法的认证信息，Spring Security判定为匿名用户，不具备USER或DEVELOPER角色。

你猜测的方向是对的——需要在请求中携带认证令牌，而非直接设置角色（角色是令牌中携带的用户权限信息，由服务端校验）。

具体解决步骤 #

1. 获取合法的认证令牌 #

根据你的Spring Security认证方式（比如JWT、OAuth2、用户名密码登录），先获取对应角色用户的认证令牌：

• 如果是用户名密码登录，先调用登录接口获取令牌：

// 示例：调用登录接口获取JWT令牌
class LoginRequest {
    private String username;
    private String password;
    // 构造器、getter/setter
}

class LoginResponse {
    private String token;
    // getter/setter
}

// 非阻塞方式获取令牌（推荐）
Mono<String> tokenMono = webClient.post()
        .uri("/auth/login")
        .bodyValue(new LoginRequest("developer_user", "password"))
        .retrieve()
        .bodyToMono(LoginResponse.class)
        .map(LoginResponse::getToken);

2. 在WebClient请求中携带令牌 #

将令牌放在Authorization请求头中，格式为Bearer <令牌内容>：

单次请求添加令牌

// 调用DELETE接口（需DEVELOPER角色）
tokenMono.flatMap(token -> 
    webClient.delete()
            .uri(deleteUrl)
            .header(HttpHeaders.AUTHORIZATION, "Bearer " + token)
            .retrieve()
            .bodyToMono(Void.class)
).subscribe();

// 调用GET接口（需USER角色）
webClient.get()
        .uri(getUrl)
        .header(HttpHeaders.AUTHORIZATION, "Bearer " + userToken) // 使用拥有USER角色的用户令牌
        .retrieve()
        .bodyToMono(Void.class)
        .subscribe();

全局配置令牌（避免重复编写）

如果多个请求都需要携带令牌，可以配置WebClient过滤器自动添加：

@Bean
public WebClient webClient(WebClient.Builder builder) {
    return builder
            .filter((request, next) -> {
                // 此处可根据业务逻辑获取令牌（比如从缓存、认证上下文）
                String token = getValidToken();
                ClientRequest authorizedRequest = ClientRequest.from(request)
                        .header(HttpHeaders.AUTHORIZATION, "Bearer " + token)
                        .build();
                return next.exchange(authorizedRequest);
            })
            .build();
}

额外注意事项 #

• 确保用于获取令牌的用户确实拥有对应角色：比如调用DELETE接口的用户必须被授予DEVELOPER角色，调用GET接口的用户需拥有USER角色。
• 检查URL匹配规则：你的DELETE接口路径是/api/delete，但安全配置中antMatchers(HttpMethod.DELETE, "/api/v1/**")并未覆盖该路径，此时会由方法级的@PreAuthorize("hasRole('DEVELOPER')")生效，仍需携带对应角色的令牌。

内容的提问来源于stack exchange，提问作者user1555190