配置HttpSecurity后USER角色无法访问指定URL的排查建议

看起来你遇到了已认证用户无法访问配置了USER角色权限URL的问题，我结合你的代码梳理几个关键排查方向：

• 检查角色前缀匹配问题
  Spring Security的hasRole()方法默认会自动给角色名称加上ROLE_前缀进行匹配。比如你配置的hasRole("USER")，实际会检查用户是否拥有ROLE_USER权限，但你的代码里：

  GrantedAuthority authority = new SimpleGrantedAuthority("USER");
  

  这里给的权限是USER，没有前缀，导致匹配失败。解决方法二选一：

  1. 把权限改为ROLE_USER：new SimpleGrantedAuthority("ROLE_USER")（注意inMemoryAuthentication里的roles("USER")会自动加前缀，这部分是对的）
  2. 用hasAuthority("USER")代替hasRole("USER")，直接匹配权限字符串，不自动加前缀

• 修复HttpSecurity配置的链式调用问题
  你当前把HttpSecurity配置分成了两段，这种写法会导致第一段的权限规则被第二段覆盖：

  // 第一段配置
  http.authorizeRequests(). 
      antMatchers(PUBLIC_MATCHERS).permitAll(). 
      antMatchers("/bookDetail/**").hasRole("USER"). 
      ...
      and().formLogin(); 
  // 第二段配置，会覆盖第一段的部分规则
  http .csrf().disable().cors().disable() 
      .formLogin().failureUrl("/login?error") 
      ...
  

  正确的做法是把所有配置链式写在一起，确保权限规则生效：

  http.csrf().disable().cors().disable()
      .authorizeRequests()
          .antMatchers(PUBLIC_MATCHERS).permitAll()
          .antMatchers("/bookDetail/**").hasRole("USER")
          .antMatchers("/listOfCreditCards/**").hasRole("USER")
          .antMatchers("/shoppingCart/addItem/**").hasRole("USER")
          .anyRequest().authenticated() // 建议添加，确保其他请求也需认证
      .and()
      .formLogin()
          .failureUrl("/login?error")
          .defaultSuccessUrl("/")
          .loginPage("/login").permitAll()
      .and()
      .logout()
          .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
          .logoutSuccessUrl("/?logout").deleteCookies("remember-me").permitAll()
      .and()
      .rememberMe();
  

• 清理重复的认证配置
  你同时配置了三种认证相关内容，很可能互相冲突：

  1. userDetailsService() Bean提供的内存用户
  2. configureGlobal方法注入的userSecurityService（代码里没看到这个Bean的定义，疑似笔误）
  3. AuthenticationConfiguration类里的inMemoryAuthentication配置
     建议只保留一种配置方式，比如删掉多余的，只保留userDetailsService()或者AuthenticationConfiguration里的配置，避免冲突。

• 验证认证后用户的实际权限
  在代码里加调试逻辑，打印当前认证用户的权限，确认是否和预期一致：

  @GetMapping("/debug-auth")
  public String debugAuth() {
      Authentication auth = SecurityContextHolder.getContext().getAuthentication();
      System.out.println("当前用户权限：" + auth.getAuthorities());
      return "debug";
  }
  

  登录后访问这个接口，如果输出的是[USER]，而你用的是hasRole("USER")，那肯定不匹配（因为hasRole找的是ROLE_USER）。

• 检查密码编码器的一致性
  你的configureGlobal里用了passwordEncoder()，但AuthenticationConfiguration里直接用了明文密码"A"。如果你的密码编码器是加密类型（比如BCrypt），明文密码会匹配失败导致认证失败。虽然你说用户已认证，但还是要确认：如果用userDetailsService()里的用户，密码要和密码编码器的要求一致，比如用加密后的字符串，或者测试时暂时用NoOpPasswordEncoder（仅开发测试用）。

内容的提问来源于stack exchange，提问作者valik