Spring Security配置后接口返回401未授权问题排查求助

看起来你遇到的是Spring Security权限配置导致的401问题，虽然JWT令牌有效，但授权环节肯定哪里出了问题。我帮你梳理几个关键排查点，按顺序检查应该能找到问题：

1. 先搞清楚hasRole和hasAuthority的对应关系（别搞混前缀） #

Spring Security里hasRole("ADMIN")等价于hasAuthority("ROLE_ADMIN")——因为hasRole会自动给角色名加上ROLE_前缀。你虽然都试过了，但还是要确认你的用户实际拥有的权限字符串到底是啥：

• 如果你的UserDetails里返回的权限是ROLE_ADMIN，那用hasRole("ADMIN")或hasAuthority("ROLE_ADMIN")都可以；
• 如果返回的是ADMIN（没有前缀），那只能用hasAuthority("ADMIN")，hasRole自动加前缀会导致匹配失败。

2. 检查UserDetailsImpl的权限返回是否正确 #

重点看getAuthorities()方法，比如：

@Override
public Collection<? extends GrantedAuthority> getAuthorities() {
    // 假设你的用户角色存在roles集合里，数据库存的是"ADMIN"
    return this.roles.stream()
        .map(role -> new SimpleGrantedAuthority("ROLE_" + role)) // 加前缀对应hasRole
        // 要是数据库存的是"ROLE_ADMIN"，直接map成SimpleGrantedAuthority(role)就行
        .collect(Collectors.toList());
}

如果这里的权限字符串和你在SecurityConfig里用的不匹配，肯定会授权失败。

3. 确认JwtAuthenticationFilter是否正确解析权限并设置到SecurityContext #

这个是核心！如果过滤器没把权限正确放入Authentication对象，哪怕JWT有效，Spring Security也会认为用户未认证：

// 解析JWT中的权限部分
List<String> authorities = claims.get("authorities", List.class);
Collection<GrantedAuthority> auths = authorities.stream()
    .map(SimpleGrantedAuthority::new)
    .collect(Collectors.toList());

// 构建带权限的Authentication并设置到SecurityContext
UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken(
    userDetails, null, auths);
authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
SecurityContextHolder.getContext().setAuthentication(authentication);

要确保这里的authorities是从JWT里正确取到的，并且转换成了GrantedAuthority集合，最终把带权限的Authentication设置到了SecurityContext里。可以在过滤器里加日志，打印一下SecurityContextHolder.getContext().getAuthentication()，看看请求进来后是否有Authentication对象，以及里面的权限是否正确。

4. 检查SecurityConfig的规则顺序 #

Spring Security的规则是从上到下匹配，如果你的/api/author/**规则前面有其他更宽泛的匹配规则（比如/api/**设置了permitAll），那后面的权限限制规则根本不会生效。比如：

// 错误顺序：先匹配/api/**，后面的/api/author/**不会生效
http.authorizeRequests()
    .antMatchers("/api/**").permitAll()
    .antMatchers("/api/author/**").hasRole("ADMIN")
    .anyRequest().authenticated();

// 正确顺序：先写更具体的规则
http.authorizeRequests()
    .antMatchers("/api/author/**").hasRole("ADMIN")
    .antMatchers("/api/**").permitAll()
    .anyRequest().authenticated();

5. 区分401和403的含义（排查到底是认证还是授权问题） #

你返回的是401 Unauthorized，这说明Spring Security认为用户未通过认证，而不是授权失败（授权失败是403 Forbidden）。所以重点要确认JwtAuthenticationFilter是否真的执行了，有没有因为过滤器顺序不对、JWT解析逻辑错误等原因，导致Authentication没被正确设置到SecurityContext。

6. 检查UserDetailsServiceImpl的loadUserByUsername是否正确 #

确保这个方法返回的UserDetailsImpl对象里，用户名、权限都是正确的，并且isEnabled()、isAccountNonExpired()等状态方法都返回true——如果这些返回false，也会导致认证失败返回401。

内容的提问来源于stack exchange，提问作者Kanami