Spring Security hasRole与PreAuthorize底层原理及无状态授权日志疑问

为什么看不到角色检查的数据库日志？ #

你看不到角色校验的DB查询日志，核心原因是Spring Security的角色校验是内存操作，不会再触发数据库查询：
在你的AuthTokenFilter中，每次请求都会通过userDetailsService.loadUserByUsername(username)从数据库加载完整的用户信息（包括角色/权限），并封装到UserDetails对象里。随后这个对象会被存入UsernamePasswordAuthenticationToken，最终放到SecurityContextHolder中。当后续hasRole()或hasAuthority()做授权校验时，Spring Security直接从SecurityContext里的认证对象中取出权限集合，在内存中做比对，不会再去查询数据库。

STATELESS配置和授权的矛盾？ #

完全不矛盾。你设置sessionCreationPolicy(STATELESS)的作用是：

• 禁止Spring Security创建或使用HttpSession来持久化认证信息
• 要求每次请求都必须重新校验JWT、重新加载用户信息并构建认证对象

而授权校验本身是基于当前请求上下文（SecurityContext）中的内存数据完成的，和会话存储没有关系。Spring Security不会把授权信息存在会话里，因为STATELESS模式下根本不会维护会话。

验证角色校验的方法 #

如果想确认角色校验的过程，可以：

• 在UserDetails.getAuthorities()方法中打印日志，查看当前用户的权限集合
• 调试时查看SecurityContextHolder.getContext().getAuthentication().getAuthorities()的内容，确认权限是否正确加载

优化建议（可选） #

如果觉得每次请求都查数据库加载用户信息影响性能，可以考虑：

• 将用户的角色/权限信息直接嵌入JWT的Payload中，这样解析JWT时就能直接获取权限，无需调用userDetailsService查询数据库
• 注意：这种方式需要确保JWT的签名安全，且权限信息变更时需要重新生成JWT，否则用户端的旧JWT会保留旧权限

你的AuthTokenFilter代码（格式化后） #

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
        throws ServletException, IOException {
    try {
        String jwt = parseJwt(request);
        if (jwt != null && jwtUtils.validateJwtToken(jwt)) {
            String username = jwtUtils.getUserNameFromJwtToken(jwt);

            UserDetails userDetails = userDetailsService.loadUserByUsername(username);
            UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken(userDetails, null,
                    userDetails.getAuthorities());
            authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));

            SecurityContextHolder.getContext().setAuthentication(authentication);
        }
    } catch (Exception e) {
        logger.error("Cannot set user authentication: {}", e);
    }

    filterChain.doFilter(request, response);
}

内容的提问来源于stack exchange，提问作者yokus