Spring Security配置：管理员访问全部API出现403问题求助

问题根源分析 #

1. 路径匹配器错误：antMatchers("*")仅匹配URL的最后一段（如/test中的test），无法覆盖多级路径（如/api/user/list），导致ADMIN角色的权限规则没有生效到所有接口。
2. 规则顺序颠倒：Spring Security授权规则是从上到下优先匹配，原代码中先设置ADMIN权限规则，后续的permitAll规则会被拦截覆盖（比如OPTIONS请求、管理端点会先被要求ADMIN角色，不符合预期）。
3. 角色前缀不匹配：hasRole()方法会自动添加ROLE_前缀，如果JWT中的角色没有该前缀，会导致权限校验失败。

修正后的配置代码 #

http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
    .and()
    .authorizeRequests(authRequests -> {
        // 先放行OPTIONS预检请求
        authRequests.mvcMatchers(HttpMethod.OPTIONS).permitAll();
        // 放行管理类、文档类静态资源端点
        authRequests.mvcMatchers("/management/**", "/docs/**", "/webjars/**").permitAll();
        // 允许ADMIN角色访问所有路径
        authRequests.antMatchers("/**").hasRole(RoleType.Fields.ADMIN);
        // 其他业务API需认证后访问
        authRequests.anyRequest().authenticated();
    });
http.oauth2ResourceServer().jwt().jwtAuthenticationConverter(jwtAuthenticationConverter());

额外注意事项 #

• 若JWT中的角色无ROLE_前缀（如直接是ADMIN），需调整权限校验方式：
  • 方法一：改用hasAuthority("ROLE_" + RoleType.Fields.ADMIN)替代hasRole()
  • 方法二：在jwtAuthenticationConverter()中配置自动添加前缀，示例代码：

    private JwtAuthenticationConverter jwtAuthenticationConverter() {
        JwtGrantedAuthoritiesConverter authoritiesConverter = new JwtGrantedAuthoritiesConverter();
        // 指定JWT中存储角色的字段名（根据实际情况调整）
        authoritiesConverter.setAuthoritiesClaimName("roles");
        // 为角色添加ROLE_前缀
        authoritiesConverter.setAuthorityPrefix("ROLE_");
        
        JwtAuthenticationConverter converter = new JwtAuthenticationConverter();
        converter.setJwtGrantedAuthoritiesConverter(authoritiesConverter);
        return converter;
    }
    

• 确保自定义过滤器已正确将JWT中的角色转换为Spring Security可识别的GrantedAuthority对象。

内容的提问来源于stack exchange，提问作者Oussama Abouzid