Thymeleaf的sec:authorize属性是否支持同时校验多个用户角色？

解决方案 #

可以直接使用Spring Security内置的hasAnyRole()表达式实现多角色任意匹配校验，修改后的代码如下：

<a class="dropdown-item" href="/addFishToWater" 
  sec:authorize="hasAnyRole('ROLE_ADMIN', 'ROLE_MODERATOR')">Admin</a>

说明

• hasAnyRole()可传入多个逗号分隔的角色参数，只要当前登录用户持有其中任意一个角色，表达式就返回true，对应页面元素会正常渲染，否则元素会被隐藏
• 若你使用的Spring Security版本开启了ROLE_前缀自动补全配置，也可以简化写为hasAnyRole('ADMIN', 'MODERATOR')，运行效果一致

内容的提问来源于stack exchange，提问作者agunimonx1