配置Spring Security实现ROLE2角色访问Swagger UI遇阻求助

我来帮你排查这个Spring Security配置的问题，你的核心问题出在角色权限匹配逻辑和Swagger资源路径完整性上，咱们一步步拆解解决：

1. 先搞清楚角色权限的匹配规则 #

你在内存用户配置里写了.roles("ROLE2")，这里要注意：Spring Security会自动给roles()方法传入的角色名加上ROLE_前缀，所以用户user1实际拥有的权限是ROLE_ROLE2。

你第一次配置用.hasAuthority("ROLE_ROLE2")是完全正确的，但后来尝试的.hasRole("ROLE2")其实也等价于hasAuthority("ROLE_ROLE2")——因为hasRole()方法本身也会自动添加ROLE_前缀。这里的坑是别混淆hasRole和hasAuthority的用法：

• hasRole("X") 等价于 hasAuthority("ROLE_X")
• roles("X") 等价于给用户授予ROLE_X权限

2. Swagger资源路径漏了关键的子路径 #

你列的Swagger路径里，/swagger-resources应该改成/swagger-resources/**（注意后面的**）。Swagger UI加载时会请求这个路径下的子资源，只写/swagger-resources会导致部分静态资源被拦截，页面直接白屏或者加载失败。

另外，建议把Swagger相关的权限规则放在所有业务接口规则的前面——因为Spring Security的授权规则是从上到下匹配，先匹配到的规则会生效，避免被后面的/api/**之类的规则意外覆盖。

3. 修正后的完整可运行配置 #

给你整理了一份修正后的配置，直接替换你的代码就行：

// 核心安全配置
http.csrf().disable()
    .authorizeRequests()
    // 优先配置Swagger资源权限
    .antMatchers(
        "/swagger-ui.html",
        "/swagger-resources/**",
        "/configuration/ui",
        "/configuration/security",
        "/v2/api-docs",
        "/webjars/**"
    ).hasAuthority("ROLE_ROLE2") // 这里也可以换成hasRole("ROLE2")，效果完全一样
    // 业务接口权限
    .antMatchers("/api/**").hasAuthority("ROLE_ROLE1")
    // 公开资源允许所有人访问
    .antMatchers("/login/**", "/info/**").permitAll()
    // 其他所有请求都需要认证
    .anyRequest().authenticated()
    .and()
    // 表单登录配置
    .formLogin()
    .loginPage("/login.html")
    .loginProcessingUrl("/perform_login")
    .defaultSuccessUrl("/swagger-ui.html", true)
    .failureUrl("/login.html?error=true")
    .permitAll()
    .and()
    .logout()
    .logoutSuccessUrl("/login.html");

// 内存用户配置（Spring Security 5+必须加密码编码器！）
.inMemoryAuthentication()
    .passwordEncoder(new BCryptPasswordEncoder())
    .withUser("user1")
    .password(new BCryptPasswordEncoder().encode("userpassword"))
    .roles("ROLE2");

4. 必须注意的两个关键点 #

• 密码编码器：Spring Security 5及以上版本强制要求使用密码编码器，你之前的配置里没加，虽然permitAll时能登录，但这是隐患，会导致权限验证异常。一定要加上BCryptPasswordEncoder（或者其他你喜欢的编码器），并且密码要加密存储。
• 路径顺序：把Swagger的规则放在最前面，避免被其他路径规则抢先匹配。

按照这个配置修改后，用user1登录应该就能正常访问Swagger UI了。

内容的提问来源于stack exchange，提问作者Jagruti