Spring Boot Security权限问题：无对应角色用户仍可访问专属页面

嘿，我来帮你搞定这个权限控制失效的问题！咱们一步步排查可能的原因，对应解决：

一、先检查SecurityConfig的规则顺序与配置细节 #

Spring Security的权限规则是从上到下匹配的，这一点特别容易踩坑！如果你的通用规则（比如permitAll()）放在了/competition/**的专属规则前面，那所有请求都会被直接允许，后面的Admin专属规则根本不会生效。

举个正确的配置示例：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                // 把具体的路径规则放在最前面
                .requestMatchers("/competition/**").hasAuthority("ROLE_ADMIN") 
                // 通用规则放后面
                .anyRequest().permitAll() 
            )
            .formLogin(form -> form.permitAll())
            .logout(logout -> logout.permitAll());
        return http.build();
    }
}

另外要注意hasRole和hasAuthority的区别：

• hasRole("ADMIN")会自动给角色名加上ROLE_前缀，对应的权限字符串是ROLE_ADMIN
• hasAuthority("ROLE_ADMIN")需要你传入完整的权限字符串
  这两者必须和你实际给用户加载的权限严格对应，否则Spring Security识别不到用户的Admin权限。

二、确认UserService中权限加载是否正确 #

这是另一个高频出错点：你的UserService在实现UserDetailsService时，有没有正确把用户的Role转换成Spring Security能识别的GrantedAuthority？

举个正确的实现示例：

@Service
public class UserService implements UserDetailsService {
    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("用户不存在"));
        
        // 关键：把Role转换为GrantedAuthority，注意前缀匹配！
        List<GrantedAuthority> authorities = user.getRoles().stream()
                // 如果你的Role实体的name字段是"ADMIN"，这里要加ROLE_前缀
                .map(role -> new SimpleGrantedAuthority("ROLE_" + role.getName()))
                .collect(Collectors.toList());

        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(),
                authorities
        );
    }
}

比如如果你的Role存储的是ADMIN，那这里生成的权限就是ROLE_ADMIN，对应SecurityConfig里的hasRole("ADMIN")或者hasAuthority("ROLE_ADMIN")；如果Role存储的是ROLE_ADMIN，那直接用role.getName()即可。

三、检查路径匹配的正确性 #

• 确认路径大小写是否一致：Spring Security默认区分大小写，如果实际请求是/Competition/list但你配置的是/competition/**，规则就不会匹配。
• 新版本Spring Security（6.x+）推荐用requestMatchers，不要再用已废弃的antMatchers，混用可能导致匹配异常。

四、调试验证用户的实际权限 #

你可以在控制器里加一段调试代码，打印当前登录用户的权限，确认权限是否正确加载：

@GetMapping("/debug-perms")
public String debugPermissions(Authentication authentication) {
    Collection<? extends GrantedAuthority> perms = authentication.getAuthorities();
    System.out.println("当前用户权限：" + perms);
    return "当前权限：" + perms.toString();
}

访问这个接口后，看控制台输出的权限字符串，和你SecurityConfig里要求的是否一致。比如如果普通用户的权限里也出现了ROLE_ADMIN，那肯定是权限加载逻辑有问题；如果权限正确但还是能访问，那大概率是规则顺序错了。

五、排查是否有其他配置冲突 #

如果项目里有多个SecurityConfig类，或者自定义了过滤器、拦截器，可能会干扰权限判断。可以暂时注释掉无关的配置，只保留核心的权限控制规则，看是否能正常工作。

内容的提问来源于stack exchange，提问作者Lucia