Spring 6中JSR250 @RolesAllowed角色层级不生效如何解决？

升级Spring Security 6后，使用JSR250的@RolesAllowed注解时，原有的DefaultMethodSecurityExpressionHandler配置无法让注解识别预定义的角色层级（RoleHierarchy），核心原因是：JSR250注解由AuthorityAuthorizationManager负责处理，而非DefaultMethodSecurityExpressionHandler，因此需要直接为该管理器配置角色层级。

解决方案：自定义JSR250授权管理器 #

通过MethodSecurityCustomizer直接配置JSR250对应的AuthorityAuthorizationManager，注入角色层级Bean即可生效。

完整配置示例：

@Configuration
@EnableMethodSecurity(jsr250Enabled = true)
public class MethodSecurityConfig {

    // 定义角色层级
    @Bean
    public RoleHierarchy roleHierarchy() {
        RoleHierarchyImpl roleHierarchy = new RoleHierarchyImpl();
        roleHierarchy.setHierarchy("a > b");
        return roleHierarchy;
    }

    // 配置JSR250授权管理器，绑定角色层级
    @Bean
    public MethodSecurityCustomizer methodSecurityCustomizer(RoleHierarchy roleHierarchy) {
        return configurer -> configurer
                .jsr250(jsrConfig -> jsrConfig
                        .authorizeRequests(
                                AuthorityAuthorizationManager.hasAnyRole()
                                        .setRoleHierarchy(roleHierarchy)
                        )
                );
    }
}

关键说明 #

1. 启用JSR250支持：必须在@EnableMethodSecurity中设置jsr250Enabled = true，开启对@RolesAllowed等JSR250注解的支持。
2. 角色层级Bean：定义RoleHierarchyBean来声明角色继承关系（如a > b表示拥有角色a的用户自动拥有角色b）。
3. 绑定授权管理器：通过MethodSecurityCustomizer获取JSR250的配置器，为其指定携带角色层级的AuthorityAuthorizationManager，确保@RolesAllowed校验时会解析角色继承关系。

内容的提问来源于stack exchange，提问作者cjtfd