Spring Security配置后登录仍出现403 Forbidden问题求助

嘿，这个问题我碰到过好多次了，核心原因是Spring Security的hasRole()方法有个容易忽略的细节——它会自动给权限名加上ROLE_前缀！

问题根源 #

你在User实体的getAuthorities()方法中返回的是SimpleGrantedAuthority("USER")，也就是权限字符串是USER；但当你用.hasRole("USER")或者.access("hasRole('USER')")时，Spring Security实际会检查用户是否拥有ROLE_USER这个权限，两者不匹配，所以即使登录了也会返回403。

两种解决方案 #

方案1：给权限字符串添加ROLE_前缀

修改User实体的getAuthorities()方法，返回带前缀的权限：

@Override
public Collection<? extends GrantedAuthority> getAuthorities() {
    // 加上ROLE_前缀，和hasRole("USER")对应
    return Arrays.asList(new SimpleGrantedAuthority("ROLE_USER"));
}

这样你的原HttpSecurity配置不需要改动，就能正常匹配权限了。

方案2：使用hasAuthority()代替hasRole()

如果你不想给权限加前缀，可以用hasAuthority()方法（它会精确匹配权限字符串，不会自动加前缀）。修改你的HttpSecurity配置：

@Override
protected void configure(HttpSecurity http) throws Exception{
    http
        .authorizeRequests()
        .antMatchers("/home")
        .hasAuthority("USER") // 精确匹配"USER"权限
        .antMatchers("/","/**").permitAll() // 用permitAll()方法更简洁
        .anyRequest().authenticated()
        .and()
        .formLogin()
        .and()
        .httpBasic();
}

额外注意点 #

确保你的权限规则顺序正确：更具体的路径规则要放在通用路径规则前面。比如你现在先配置/home，再配置/**的顺序是对的——如果反过来，/**会匹配所有路径，包括/home，导致你的权限规则被覆盖。

内容的提问来源于stack exchange，提问作者Viorel Casapu