Spring Security HTTP过滤器链不生效问题求助

1. 授权规则逻辑冲突 #

你重复调用了.authorizeRequests()，这会导致规则匹配优先级混乱。Spring Security的授权规则是从上到下按顺序匹配，一旦匹配到第一条符合的规则就会终止后续判断。正确做法是把所有路径授权规则放在同一个.authorizeRequests()块内，确保优先级高的规则（比如根路径的permitAll）排在最前面。

2. 角色校验失效的原因 #

使用hasRole("XXX")时，Spring Security会自动给角色名称添加ROLE_前缀，比如hasRole("CLIENTE")实际校验的是ROLE_CLIENTE权限。如果你的用户角色存储的是CLIENTE而非ROLE_CLIENTE，就会出现角色配置被忽略的情况。可以改用hasAuthority("CLIENTE")直接匹配权限名称，或者关闭角色前缀自动添加。

3. 浏览器登录弹窗说明 #

浏览器访问REST API时弹出登录框是HTTP Basic认证的默认行为，属于浏览器自动处理逻辑。如果你的API是供前端调用，前端可以通过请求头携带认证信息，无需修改配置；如果确实要调整，可考虑更换认证方式或自定义未认证响应格式。

修正后的配置代码 #

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true, jsr250Enabled = true)
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf().disable()
            // 所有授权规则统一放在一个块内
            .authorizeRequests()
                .antMatchers("/").permitAll()
                .antMatchers("/pedido").hasAuthority("CLIENTE")
                .antMatchers("/crear-producto").hasAuthority("ADMIN")
                .anyRequest().authenticated()
            .and()
            .httpBasic();

        return http.build();
    }
}

额外补充 #

• 若坚持使用hasRole，需确保用户角色带ROLE_前缀，或添加以下配置关闭自动前缀：

@Bean
public GrantedAuthorityDefaults grantedAuthorityDefaults() {
    return new GrantedAuthorityDefaults(""); // 移除ROLE_前缀
}

• 确认用户认证逻辑正确，登录后能返回对应的权限信息（比如在UserDetails实现类中正确生成GrantedAuthority列表）。

内容的提问来源于stack exchange，提问作者Sofia E Torres