Spring Security单角色用户无法访问对应权限路径问题求助

核心排查步骤 #

• 第一步：检查权限拦截规则的配置顺序
  Spring Security的antMatchers规则按照配置从上到下匹配，命中第一个规则后就不会继续匹配后续规则。如果你的配置中宽泛路径规则（比如antMatchers("/**").hasRole("ADMIN")）写在了/leaders/**的规则之前，所有请求会优先匹配宽泛规则，要求必须持有ADMIN角色，自然只有同时带ROLE_ADMIN的用户能访问对应路径。
  解决方法：把路径更精准的规则放在前面，宽泛规则放在最后。
• 第二步：校验用户权限加载逻辑
  在你实现的UserDetailsService的loadUserByUsername方法末尾打断点，查看返回的User对象的authorities集合：
  1. 仅持有ROLE_MANAGER的用户返回的集合中，是否包含ROLE_MANAGER这个权限值
  2. 排查权限查询SQL是否正确，比如用户-角色中间表的关联条件是否有误，是否存在多表查询时漏了单角色用户的权限数据
     另外可以直接验证：用仅持有ROLE_MANAGER的用户登录首页，查看是否显示Leadership Meeting链接。如果链接不显示，说明前端权限校验就识别不到用户的MANAGER角色，100%是权限加载逻辑的问题。
• 第三步：检查角色前缀配置
  如果你自定义过权限前缀配置，比如显式设置了setRolePrefix("")或者在配置文件中配置spring.security.role-prefix为空，那么hasRole("MANAGER")不会自动拼接ROLE_前缀，无法匹配数据库中存储的ROLE_MANAGER值。
  解决方法：要么删除自定义空前缀的配置，要么把规则改成hasRole("ROLE_MANAGER")或者hasAuthority("ROLE_MANAGER")。
• 第四步：排查多余的权限注解
  查看/leaders接口所在的Controller类或者方法上，是否加了@PreAuthorize、@Secured这类注解，如果类上统一加了要求ADMIN角色的注解，即使路径配置允许MANAGER访问，也会被注解拦截。

内容的提问来源于stack exchange，提问作者Stefan Jankovic