Spring Boot OAuth2资源服务器搭配Auth0时查询参数请求未返回403

看起来你遇到的问题是Spring Security的权限规则没有正确应用到带查询参数的/person请求上。让我们一步步拆解问题并解决它：

核心原因 #

你的配置中使用了requestMatchers("/person")，它基于Servlet的路径匹配规则，虽然理论上应该忽略查询参数，但结合Spring MVC控制器的场景下，可能无法正确匹配带查询参数的请求。另外，你的curl命令也存在shell解析的问题，导致你可能误判了请求结果。

解决方案1：改用Spring MVC匹配器 #

因为你的控制器是Spring MVC的@RestController，推荐使用mvcMatchers替代requestMatchers，它会严格遵循Spring MVC的路径匹配规则，自动忽略查询参数，确保/person和/person?email=xxx被视为同一个请求路径进行权限校验：

修改你的SecurityConfig：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http.authorizeHttpRequests()
            // 替换requestMatchers为mvcMatchers
            .mvcMatchers("/person").hasAuthority("SCOPE_blahablah")
            .anyRequest().authenticated()
            .and().cors()
            .and().oauth2ResourceServer().jwt();
    return http.build();
}

解决方案2：调整requestMatchers匹配规则 #

如果你坚持使用requestMatchers，可以明确匹配所有以/person开头的请求（包括带查询参数的情况）：

.requestMatchers(HttpMethod.GET, "/person**").hasAuthority("SCOPE_blahablah")

修复curl测试命令 #

在zsh中，?和...属于shell通配符，会被自动解析，导致你的请求没有正确发送到服务器。请将URL用双引号包裹：

# 正确的测试命令（替换your-token-here为实际token）
curl -v "http://localhost:8080/person?email=test@example.com" -H "Authorization: Bearer your-token-here"

额外验证点 #

确保你的JWT配置正确：Spring Security默认会将JWT中的scope或scp字段转换为SCOPE_前缀的权限。如果你的token中没有blahablah这个scope，修改后的配置应该会返回403 Forbidden，符合你的预期。

内容的提问来源于stack exchange，提问作者Jose Gleeson