Spring MVC+Thymeleaf环境无法展示已认证用户的用户名与角色

问题根因与解决方案 #

你遇到的问题属于Thymeleaf和Spring Security整合时的常见配置遗漏，按以下优先级排查即可解决： #

1. 优先确认Spring Security方言已注册 #

90%以上的同类无报错不显示问题，都是因为只添加了依赖，没有手动将Spring Security方言注册到Thymeleaf模板引擎中，添加以下Bean配置即可：

import org.thymeleaf.extras.springsecurity5.dialect.SpringSecurityDialect;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class ThymeleafConfig {
    @Bean
    public SpringSecurityDialect springSecurityDialect() {
        return new SpringSecurityDialect();
    }
}

2. 排查版本匹配问题 #

你当前使用的thymeleaf-extras-springsecurity5:3.0.4.RELEASE仅适配 Thymeleaf 3.0.x 版本 + Spring Security 5.0.x 版本，如果你的项目中：

• Thymeleaf核心包版本 ≥ 3.1.x：需要更换对应版本的thymeleaf-extras-springsecurity5依赖
• Spring Security版本 ≥ 6.x：需要更换为thymeleaf-extras-springsecurity6依赖

3. 修正权限表达式写法 #

Spring Security的hasRole()方法会自动为传入的参数拼接ROLE_前缀，和你内存用户配置时roles("USER")自动加前缀的逻辑对应，所以正确写法为：

<!-- 错误写法 -->
<div sec:authorize="hasRole('ROLE_USER')"> 
<!-- 正确写法，hasRole会自动补ROLE_前缀 -->
<div sec:authorize="hasRole('USER')"> 
<!-- 也可以用hasAuthority全匹配，不会自动补前缀 -->
<div sec:authorize="hasAuthority('ROLE_USER')"> 

你尝试的hasRole('_USER')、is.Authorized()均属于错误写法，直接删除即可。 #

4. 简化逻辑排查 #

你可以先去掉权限判断的包裹，直接输出认证信息验证基础功能是否正常：

<!-- 不需要加任何包裹，直接输出测试 -->
<p>用户名：<span sec:authentication="principal.username"></span></p>
<p>权限列表：<span sec:authentication="principal.authorities"></span></p>

如果上述内容可以正常显示，说明是之前的权限表达式配置错误；如果依然无法显示，回到前两步检查方言配置和版本匹配。 #

5. 后端验证认证状态 #

你可以在首页对应的Controller接口中添加以下代码，确认后端可以正常拿到认证信息：

Authentication auth = SecurityContextHolder.getContext().getAuthentication();
// 打印当前用户名和权限，确认登录后信息已存入上下文
System.out.println("用户名：" + auth.getName());
System.out.println("权限：" + auth.getAuthorities());

如果后端也无法打印出正确信息，说明你的Spring Security登录逻辑存在配置问题，需检查登录流程的上下文存储配置。

内容的提问来源于stack exchange，提问作者helloJava