Spring Boot基于用户角色控制Controller访问全角色返回403错误求解

问题根因与解决方法 #

1. 角色前缀不匹配（最高概率） #

Spring Security的hasRole()方法默认会自动给传入的角色名拼接ROLE_前缀再做权限校验。你当前安全配置中写的.antMatchers("/department/list").hasRole("ADMIN")，实际校验逻辑是判断用户是否持有ROLE_ADMIN权限。
而你的UserDetailsServiceImpl实现中，是直接将Roles表的name字段值作为权限名存入授权集合，如果你的roles表中存储的角色名是ADMIN而非ROLE_ADMIN，就会出现权限匹配失败，返回403错误。

解决方法（三选一即可）：

• 替换权限校验方法为hasAuthority()，该方法不会自动拼接前缀，直接匹配权限名：

  .antMatchers("/department/list").hasAuthority("ADMIN")
  

• 保持hasRole()配置不变，将roles表中所有角色名统一加上ROLE_前缀，比如存储为ROLE_ADMIN
• 自定义Spring Security默认权限前缀（不推荐，不符合Spring Security规范）

2. 多对多关联懒加载问题 #

Users实体和Roles实体的多对多关联默认采用懒加载策略，虽然你在loadUserByUsername方法上加了@Transactional注解，但部分场景下仍可能出现角色集合未正常加载，导致授权集合为空的问题。

解决方法：

修改Users实体的roles属性注解，配置为立即加载：

@ManyToMany(fetch = FetchType.EAGER)
private Set<Roles> roles;

3. 数据存储校验 #

• 确认roles表中存在你需要校验的角色记录
• 确认users_roles中间表中，对应账号的用户ID和角色ID关联关系正确
• 可以在loadUserByUsername方法返回前加断点，查看grantedAuthorities集合中的权限值是否符合预期，快速定位问题

内容的提问来源于stack exchange，提问作者Bogdan Onyshenko