Spring Security启用时FF4J功能开关配置及控制台403问题排查

你碰到的这个403问题，核心原因是FF4J控制台的权限控制和Spring Security没有正确对接，或者你的登录用户缺少FF4J操作所需的角色权限。下面一步步给你拆解解决方案：

1. 先搞懂FF4J的权限逻辑 #

FF4J控制台默认对不同操作（创建、修改、删除功能等）设置了角色要求，比如创建功能默认需要ADMIN角色。如果你的Spring Security用户没有这个角色，或者FF4J没从Spring Security获取到用户的角色信息，就会返回403。

2. 配置Spring Security的基本认证 #

首先确保你的Spring Security配置正确开启了基本认证，并且给用户分配了FF4J需要的角色（比如默认的ADMIN）。示例配置如下：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            // 保护FF4J控制台和所有FF4J相关API
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/ff4j-web-console/**", "/api/ff4j/**").authenticated()
                .anyRequest().authenticated()
            )
            // 启用HTTP基本认证
            .httpBasic(Customizer.withDefaults())
            // FF4J控制台的POST请求会被CSRF拦截，所以忽略控制台路径的CSRF检查
            .csrf(csrf -> csrf.ignoringRequestMatchers("/ff4j-web-console/**"));

        return http.build();
    }

    @Bean
    public UserDetailsService userDetailsService() {
        // 创建带ADMIN角色的管理员用户，生产环境记得替换为加密密码（别用{noop}）
        UserDetails adminUser = User.withUsername("admin")
            .password("{noop}admin")
            .roles("ADMIN")
            .build();

        // 可选：添加普通用户，后续可以自定义权限让其操作
        UserDetails regularUser = User.withUsername("user")
            .password("{noop}user")
            .roles("USER")
            .build();

        return new InMemoryUserDetailsManager(adminUser, regularUser);
    }
}

3. 让FF4J集成Spring Security #

接下来要配置FF4J，让它使用Spring Security的认证信息（用户角色）而不是自己的默认认证逻辑。示例配置：

@Configuration
public class FF4JConfig {

    @Bean
    public FF4j ff4j() {
        FF4j ff4j = new FF4j()
            // 启用Spring Security集成，让FF4J获取当前登录用户的角色信息
            .setAuthorizationsManager(new SpringSecurityAuthorizationsManager());

        // 告诉FF4J控制台使用Spring Security的权限管理体系
        ff4j.getConsoleProperties().setAuthManagerSpring(true);

        // 如果你想自定义操作对应的角色（比如让普通USER角色也能创建功能），可以添加这段配置
        /*
        ff4j.getConsoleProperties().setPermissions(Map.of(
            "CREATE_FEATURE", "ROLE_USER",
            "READ_FEATURE", "ROLE_USER",
            "UPDATE_FEATURE", "ROLE_USER",
            "DELETE_FEATURE", "ROLE_USER"
        ));
        */

        return ff4j;
    }
}

4. 验证解决效果 #

现在重启应用：

• 用admin/admin登录，应该可以正常创建、修改、删除功能（因为ADMIN角色匹配FF4J默认权限）
• 如果给USER角色配置了自定义权限，用user/user登录也能执行对应操作

常见坑点提醒 #

• 密码编码：生产环境绝对不能用{noop}，要使用BCryptPasswordEncoder之类的安全加密方式
• CSRF问题：如果没忽略控制台的CSRF，POST请求（比如创建功能）会被拦截，同样会返回403
• 角色前缀：FF4J默认识别带ROLE_前缀的角色，Spring Security的roles()方法会自动添加这个前缀，所以不用手动拼接

内容的提问来源于stack exchange，提问作者louis amoros