Spring Boot JWT配置正常但请求返回403 Forbidden问题求助

以下是针对你配置的核心排查点及修复方案：

1. 用户权限集合为空 #

Spring Security认证通过后，会校验用户是否具备访问资源的权限。如果你的User实体实现UserDetails接口时，getAuthorities()返回空集合，即便认证成功，也会返回403。

检查与修复：
确认你的User实体（对应UserRepository的实体类）正确实现UserDetails，且getAuthorities()返回至少一个权限实例，示例如下：

@Override
public Collection<? extends GrantedAuthority> getAuthorities() {
    // 至少返回一个基础权限，比如ROLE_USER
    return Collections.singletonList(new SimpleGrantedAuthority("ROLE_USER"));
}

2. JWT密钥处理错误 #

你的JwtService中使用Decoders.BASE64.decode(SECRET_KEY)解析密钥，但"secretkeyhere"并非有效的Base64编码字符串，这会导致签名密钥生成错误，Token验证失败，SecurityContext无法设置认证信息，最终请求被拒绝。

修复方案：

• 方案一：替换为有效的Base64编码密钥（HS256要求密钥长度至少32字节），可通过工具生成符合要求的Base64密钥。
• 方案二：直接使用字符串字节数组生成密钥，修改getSignInKey()方法：

private Key getSignInKey() {
    byte[] keyBytes = SECRET_KEY.getBytes(StandardCharsets.UTF_8);
    // 生产环境务必使用足够长度的安全密钥，避免短密钥带来的风险
    return Keys.hmacShaKeyFor(keyBytes);
}

3. Token生成与解析的用户标识不匹配 #

检查生成Token时UserDetails.getUsername()返回的内容，是否与ApplicationConfig中userDetailsService()里repository.findByEmail(username)的查询字段一致。如果User实体的getUsername()返回的是用户名而非邮箱，会导致无法加载用户信息，认证失败。

检查点：
确保UserDetails的getUsername()返回用户邮箱，与查询条件匹配。

4. 过滤器异常未捕获（临时排查） #

如果JWT解析过程中抛出异常（如Token无效、密钥错误），当前代码未做处理，会直接执行filterChain.doFilter()，此时SecurityContext无认证信息，请求被拒绝。可添加日志定位问题：

try {
    userEmail = jwtService.extractUsername(jwt);
    if (userEmail != null && SecurityContextHolder.getContext().getAuthentication() == null) {
        UserDetails userDetails = this.userDetailsService.loadUserByUsername(userEmail);
        if (jwtService.isTokenValid(jwt, userDetails)) {
            // 认证逻辑...
        }
    }
} catch (JwtException e) {
    System.err.println("JWT解析失败: " + e.getMessage());
}

快速验证步骤 #

1. 解码生成的Token，确认sub字段为正确的用户邮箱。
2. 调试JwtAuthenticationFilter的doFilterInternal方法，查看是否进入了设置SecurityContext的逻辑。
3. 确认UserDetails的getAuthorities()返回非空集合。

内容的提问来源于stack exchange，提问作者mivchalx