Spring Boot接入JWT角色权限控制时访问接口返回403 Forbidden问题

• 自定义令牌解析过滤器的权限绑定逻辑缺失
  你虽然在JWT载荷中设置了authorities字段，但Spring Security的授权校验只读取SecurityContext中存储的GrantedAuthority集合，如果FirebaseIdTokenFilter在解析JWT时，没有把令牌里的ROLES_ADMIN值封装为GrantedAuthority实例、挂载到构建的Authentication对象上，框架在做权限比对时根本获取不到用户的权限信息，自然会拦截请求返回403。
• 权限值的匹配偏差
  重点核对两处匹配逻辑：
  1. 过滤器中解析到的权限值，是否和配置中写的ROLES_ADMIN完全一致——很多安全组件会默认给解析到的权限值拼接固定前缀（比如OAuth2场景下默认加SCOPE_），一旦存在额外拼接的字符，就会出现字符串不匹配的问题。
  2. 区分hasAuthority()和hasRole()的使用规则：hasRole()方法会自动给传入的角色名拼接ROLE_前缀，如果你混淆了两个方法的调用逻辑，就会出现配置的校验规则和实际存储的权限值不匹配的问题。
• SecurityContext的绑定时机错误
  要确认FirebaseIdTokenFilter完成JWT解析、构建携带权限的Authentication对象后，是否正确把对象存入SecurityContextHolder。如果只完成了令牌解析但没完成上下文绑定，后续授权环节会识别为无有效权限的请求，直接拦截返回403。
• 安全配置链路的语法缺失
  从你贴出的配置代码看，authorizeRequests()的规则调用链末尾没有补全结束语法，也没有配置针对其他接口的通用校验规则，这类配置不完整的问题，可能导致Spring Security初始化过滤器链时出现权限规则加载异常，触发403拦截。

内容的提问来源于stack exchange，提问作者Mohmd labeeb