Spring Security OAuth2.0登录触发AccessDeniedException问题求助

针对你使用Spring Security 5实现OAuth2.0登录后访问受保护API返回权限拒绝的问题，结合“修改配置后出现异常”的前提，按以下步骤排查：

1. 校验用户身份与权限配置 #

• 检查UserDetailsService实现（或内存/数据库用户配置）：确认登录用户的GrantedAuthority集合是否包含访问目标API所需的权限。比如之前正常的用户权限被误删除，或者新增了错误的权限前缀（Spring Security 5中hasRole()默认要求权限以ROLE_开头，hasAuthority()则直接匹配权限字符串）。
• 临时添加日志：在UserDetailsService的loadUserByUsername方法中打印用户的username和authorities内容，验证登录时加载的权限是否符合预期。

2. 核对客户端与授权服务器的Scope配置 #

• 检查授权服务器的RegisteredClient配置：确认客户端注册时的scopes是否包含目标API所需的权限范围（比如read、write等）。
• 验证客户端请求Token的参数：确认请求授权码或Token时，是否携带了正确的scope参数。如果客户端未请求对应scope，生成的Token不会包含该权限，访问API时会触发权限拒绝。

3. 定位AccessDeniedException的触发环节 #

• 分析报错日志的堆栈信息：
  • 如果异常触发在登录后跳转授权端点（/oauth2/authorize）：检查授权服务器的SecurityFilterChain是否误配置了授权端点的访问权限（比如要求未登录用户无法访问，或登录用户权限不足）。
  • 如果异常触发在访问资源服务器API：检查资源服务器的权限规则（比如@PreAuthorize注解、SecurityFilterChain中的authorizeHttpRequests配置）是否与Token中的权限匹配。

4. 检查授权服务器的安全过滤链配置 #

• 确认授权服务器的登录端点（/login）、授权端点（/oauth2/authorize）、Token端点（/oauth2/token）的权限规则：比如是否误将/oauth2/authorize设置为仅允许特定角色访问，导致登录用户无法触发授权流程。
• 示例错误配置：如果写了authorizeHttpRequests(auth -> auth.requestMatchers("/oauth2/authorize").hasRole("ADMIN"))，而登录用户只有USER角色，就会触发权限拒绝。

5. 验证Token的权限内容 #

• 如果使用JWT Token：解码Token（可通过本地代码实现解码），检查scope或authorities字段是否包含访问API所需的权限。
• 如果使用非JWT Token：在资源服务器中通过OAuth2AuthenticationToken获取用户权限，打印日志确认权限是否正确传递。

6. 排查配置变更点 #

• 对比修改前后的配置文件/代码：重点关注以下变更：
  • 用户权限相关的代码（比如UserDetails的构造、权限赋值逻辑）
  • 授权服务器的RegisteredClient配置（scope、clientId、clientSecret等）
  • 安全过滤链的权限规则调整
  • 资源服务器的API权限注解或配置

内容的提问来源于stack exchange，提问作者Eric