升级至Spring Security 6后角色层级（Role Hierarchy）功能失效求助

你遗漏了将自定义表达式处理器关联到HttpSecurity授权配置的关键步骤。虽然已经定义了带角色层级的DefaultWebSecurityExpressionHandler Bean，但Spring Security不会自动将其用于authorizeHttpRequests中的权限校验，必须显式配置。

修改步骤 #

1. 在configure方法中注入自定义的DefaultWebSecurityExpressionHandler实例
2. 在authorizeHttpRequests的配置链中添加.expressionHandler(expressionHandler)，指定使用带角色层级的处理器

修改后的完整代码 #

@Configuration
@EnableWebSecurity
public class WebSecurityConfig {

  @Bean
  public SecurityFilterChain configure(
      HttpSecurity http,
      RequestHeaderAuthenticationFilter headerAuthenticationFilter,
      DefaultWebSecurityExpressionHandler expressionHandler) throws Exception {
    
    HttpStatusEntryPoint authenticationEntryPoint = 
        new HttpStatusEntryPoint(HttpStatus.UNAUTHORIZED);
    
    http
        .addFilterAfter(headerAuthenticationFilter, RequestHeaderAuthenticationFilter.class)
        .authorizeHttpRequests(auth -> auth
          .expressionHandler(expressionHandler) // 新增：关联自定义表达式处理器
          .requestMatchers("/actuator/**", "/", "/webjars/**").permitAll()
          .requestMatchers(HttpMethod.POST).hasRole("SUPERUSER")
          .requestMatchers(HttpMethod.GET).hasRole("USER"))
        .sessionManagement(session -> session
          .sessionCreationPolicy(SessionCreationPolicy.STATELESS))
        .exceptionHandling(ex -> ex
          .authenticationEntryPoint(authenticationEntryPoint)
          .accessDeniedHandler(accessDeniedHandler()))
        .csrf(customizer -> customizer.disable());

    return http.build();
  }

  @Bean
  public RequestHeaderAuthenticationFilter headerAuthenticationFilter(
      ...
  ) {
      // 你的原有实现
  }

  @Bean
  public RoleHierarchy roleHierarchy() {
    RoleHierarchyImpl r = new RoleHierarchyImpl();
    r.setHierarchy("ROLE_SUPERUSER > ROLE_USER");
    return r;
  }

  @Bean
  public DefaultWebSecurityExpressionHandler expressionHandler() {
    DefaultWebSecurityExpressionHandler expressionHandler = new DefaultWebSecurityExpressionHandler();
    expressionHandler.setRoleHierarchy(roleHierarchy());
    return expressionHandler;
  }
}

原理说明 #

Spring Security 6中，authorizeHttpRequests默认使用内置表达式处理器，不会自动识别自定义的DefaultWebSecurityExpressionHandler Bean。通过显式配置.expressionHandler(expressionHandler)，权限校验时才会应用你定义的角色层级规则，此时拥有ROLE_SUPERUSER的用户会自动继承ROLE_USER的权限，解决层级不生效的问题。

内容的提问来源于stack exchange，提问作者david