Spring Boot与Thymeleaf中sec:authorize="hasRole(...)"枚举使用问题

1. 直接用SpEL调用枚举（最优解） #

sec:authorize本身支持SpEL，没必要嵌套Thymeleaf的${}语法，直接在表达式里调用枚举方法即可：

<div sec:authorize="hasRole(T(com.mypackage.Role).ADMIN.getText())"></div>

关键注意：Spring Security的hasRole()会自动给角色名添加ROLE_前缀。如果你的Role.ADMIN.getText()返回的是"ADMIN"，那hasRole()实际校验的是ROLE_ADMIN；要是枚举返回的是完整的"ROLE_ADMIN"，就能正常匹配。不想自动加前缀的话，换成hasAuthority()：

<div sec:authorize="hasAuthority(T(com.mypackage.Role).ADMIN.getText())"></div>

2. 用Thymeleaf预处理变量传递 #

如果必须通过Thymeleaf变量传值，得确保Thymeleaf先解析变量，再交给Spring Security处理。正确写法是用Thymeleaf的__${}__预处理语法：

<div sec:authorize="hasRole(__${T(com.mypackage.Role).ADMIN.getText()}__)"></div>

或者先通过th:with定义变量再预处理：

<div th:with="adminRole=${T(com.mypackage.Role).ADMIN.getText()}" sec:authorize="hasRole(__${adminRole}__)"></div>

预处理会先把变量解析成字符串，再代入sec:authorize的表达式中。

3. 排查常见问题 #

• 核对Role枚举的getText()返回值：是否和Spring Security配置的角色一致（比如是否包含ROLE_前缀）。
• 确认Thymeleaf和Spring Security的依赖版本兼容，整合配置无问题。
• 检查当前登录用户确实拥有对应的角色/权限。

内容的提问来源于stack exchange，提问作者Kevin O.