Spring Boot 2集成Spring Security OAuth2登录成功后出现403错误

我之前也碰到过一模一样的问题！认证成功拿到Principal却返回403，大概率是权限配置或者用户角色缺失导致的，咱们一步步来排查解决：

1. 检查核心权限配置是否正确 #

Spring Security默认会保护所有请求路径，认证成功后如果没有明确授权，就会返回403。你需要确保SecurityFilterChain配置里允许已认证用户访问目标路径：

@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            // 启用OAuth2登录流程
            .oauth2Login()
            .and()
            // 配置请求授权规则
            .authorizeHttpRequests(auth -> auth
                // 所有请求需要已认证身份，可根据实际需求调整（比如开放静态资源路径）
                .anyRequest().authenticated()
            );
        return http.build();
    }
}

如果有特定路径需要开放（比如登录页、静态资源），可以添加permitAll()：

.authorizeHttpRequests(auth -> auth
    .requestMatchers("/login", "/css/**", "/js/**").permitAll()
    .anyRequest().authenticated()
)

2. 给OAuth2用户添加默认角色 #

Google OAuth2返回的用户信息里默认没有Spring Security标准的ROLE_*角色，如果你的代码里用了@PreAuthorize("hasRole('USER')")这类角色校验，就会直接403。解决方法是自定义OAuth2UserService来给用户添加基础角色：

@Bean
public OAuth2UserService<OAuth2UserRequest, OAuth2User> oAuth2UserService() {
    DefaultOAuth2UserService delegate = new DefaultOAuth2UserService();
    return request -> {
        // 加载Google返回的用户信息
        OAuth2User oAuth2User = delegate.loadUser(request);
        
        // 添加ROLE_USER角色到用户权限集合
        Set<GrantedAuthority> authorities = new HashSet<>(oAuth2User.getAuthorities());
        authorities.add(new SimpleGrantedAuthority("ROLE_USER"));
        
        // 返回带有角色的OAuth2用户对象
        return new DefaultOAuth2User(authorities, oAuth2User.getAttributes(), "name");
    };
}

3. 排查CSRF配置影响 #

如果认证后发起的是POST/PUT/DELETE等请求，Spring Security默认开启的CSRF保护可能会拦截请求导致403。如果是静态页面或者不需要CSRF的路径，可以临时忽略来测试：

http.csrf(csrf -> csrf.ignoringRequestMatchers("/your-post-path/**"));

注意：生产环境不建议全局关闭CSRF，最好根据实际场景针对性配置。

4. 开启调试日志定位根因 #

如果以上方法都没解决，建议开启Spring Security的调试日志，查看授权过程的详细信息，定位到底是哪个环节拒绝了请求：

在application.properties中添加：

logging.level.org.springframework.security=DEBUG

启动应用后，你可以在日志里看到类似AuthorizationDecision: denied的条目，旁边会标注拒绝的原因（比如权限不足、角色缺失等）。

内容的提问来源于stack exchange，提问作者Muhannad A.Alhariri