Spring Security JWT授权访问角色受控接口返回401错误问题求助

1. User类核心方法返回空 #

你实现UserDetails接口时，getAuthorities()方法直接返回null，Spring Security依赖该方法获取用户权限列表进行访问控制，权限为空自然会触发401未授权错误。

2. JWT身份解析逻辑不统一 #

生成JWT时你调用setSubject(userId)将用户ID作为JWT的subject存储，但getUsernameFromJWT方法却直接返回subject作为用户名，用用户ID去findByUsername查询必然匹配不到用户，导致身份认证失败。

3. 认证对象未携带权限信息 #

JwtAuthenticationFilter中构造UsernamePasswordAuthenticationToken时，第三个参数直接传入Collections.emptyList()，即使用户有权限也不会被带入安全上下文，角色校验永远不通过。

4. 工具方法冗余未调用 #

UserDetailsServiceImpl中实现了getAuthority权限转换方法，但从来没有被调用，逻辑完全不生效。

1. 修复User类的getAuthorities方法 #

@Override
@JsonIgnore
public Collection<? extends GrantedAuthority> getAuthorities() {
    return roles.stream()
            .map(role -> new SimpleGrantedAuthority("ROLE_" + role.getName()))
            .collect(Collectors.toList());
}

权限转换逻辑直接放在User类中实现，删除UserDetailsServiceImpl中冗余的getAuthority方法即可。

2. 统一JWT身份解析逻辑 #

修改JwtTokenProvider的getUsernameFromJWT方法，从claims中取实际存储的用户名字段：

public String getUsernameFromJWT(String token) {
    Claims claims = Jwts.parser().setSigningKey(SECRET).parseClaimsJws(token).getBody();
    return claims.get("username", String.class);
}

也可以在生成JWT时直接将username设为subject，更符合JWT规范。

3. 认证对象携带权限列表 #

修改JwtAuthenticationFilter中认证对象构造逻辑：

UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken(
        userDetails, null, userDetails.getAuthorities());

• 配置抽离：JWT密钥、过期时间不要硬编码在业务代码中，放到application配置文件中，生产环境建议使用配置中心加密存储敏感信息。
• 代码规范：角色名使用枚举类统一管理，避免字符串硬编码导致的拼写错误。
• JWT优化：生成JWT时不要存储完整Role对象，仅存储角色名列表即可，减少token体积，避免序列化异常。
• 异常处理：使用@RestControllerAdvice实现全局异常统一处理，替换零散的控制台打印逻辑，返回标准化的错误响应。
• 版本适配：新版Spring Security已废弃WebSecurityConfigurerAdapter，建议升级为SecurityFilterChain组件式配置方式，降低后续版本迭代的兼容成本。

内容的提问来源于stack exchange，提问作者ServletException