Spring Security问题：无法通过@Secured注解结合角色实现权限控制

我来帮你一步步排查这个@Secured注解不生效的问题，这类权限控制的坑我踩过不少，咱们从最基础的配置开始：

1. 先确认Spring Security方法安全注解已启用 #

@Secured注解默认是不生效的，必须在你的Spring Security配置类上显式开启方法安全支持，否则这个注解就是个摆设。你需要添加@EnableGlobalMethodSecurity(securedEnabled = true)注解：

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(securedEnabled = true) // 关键：开启@Secured支持
class SecurityConfig : WebSecurityConfigurerAdapter() {
    // 这里放你的认证配置，比如密码编码器、UserDetailsService注入等
    // 示例：
    @Bean
    fun passwordEncoder(): PasswordEncoder = BCryptPasswordEncoder()

    override fun configure(auth: AuthenticationManagerBuilder) {
        auth.userDetailsService(customUserDetailsService).passwordEncoder(passwordEncoder())
    }
}

2. 检查用户认证时的权限是否正确注入 #

@Secured("ADMIN")的本质是检查当前登录用户的Authentication对象中是否包含字符串为"ADMIN"的GrantedAuthority。你需要确保在UserDetailsService实现中，把Employee关联的Role的roleName（而不是roleId）转换为权限对象：

@Service
class CustomUserDetailsService(
    private val employeeRepository: EmployeeRepository
) : UserDetailsService {
    override fun loadUserByUsername(username: String): UserDetails {
        val employee = employeeRepository.findByEmailAddress(username) 
            ?: throw UsernameNotFoundException("用户未找到")
        
        // 核心：将Role的roleName转为GrantedAuthority
        val authorities = employee.role?.let {
            listOf(SimpleGrantedAuthority(it.roleName))
        } ?: listOf(SimpleGrantedAuthority("DEFAULT"))

        return User(
            username = employee.emailAddress,
            password = employee.password, // 确保密码是加密后的
            authorities = authorities
        )
    }
}

⚠️ 注意：如果你的Spring Security配置使用了默认的角色前缀（ROLE_），那你需要把@Secured改成@Secured("ROLE_ADMIN")，同时在GrantedAuthority中传入"ROLE_ADMIN"，否则权限匹配会失败。

3. 检查测试用户的角色是否正确 #

你的Employee实体中，role的默认值是Role(3)，这意味着新建的Employee默认关联的是roleId=3的角色，而不是你需要的ADMIN（roleId=1）。请确保你用来测试的用户：

• 数据库中Employee的role字段关联的是roleId=1、roleName=ADMIN的记录
• 或者在代码中手动为测试用户设置正确的Role：employee.role = Role(1, "ADMIN")

4. 调试当前用户的权限状态 #

如果前面几步都没问题，建议在你的listShifts方法中添加调试代码，确认当前登录用户的权限：

import org.springframework.security.core.context.SecurityContextHolder

@RequestMapping("/listShifts", method = [RequestMethod.GET])
@Secured("ADMIN")
fun listShifts(model: Model, @RequestParam(required = false) search: String?, employeeId: Int?, departmentId: Int?): String {
    // 打印当前用户的权限信息
    val auth = SecurityContextHolder.getContext().authentication
    println("当前用户：${auth.name}，权限列表：${auth.authorities.map { it.authority }}")
    return "listShifts"
}

运行后查看控制台输出，如果权限列表中没有"ADMIN"，那问题肯定出在UserDetailsService的权限注入环节。

5. 检查请求路径和方法是否匹配 #

最后确认你访问的是GET方法的/listShifts路径，没有拼写错误（比如多写了斜杠、大小写不一致等），同时确保请求时已经完成了登录（Spring Security默认会拦截未登录的请求跳转到登录页）。

内容的提问来源于stack exchange，提问作者stLeu