使用Spring Security创建新用户时无法同时使用角色与权限

我明白你遇到的困扰了——当你在Spring Security的UserBuilder里同时调用roles()和authorities()方法时，其中一组权限会被另一组覆盖，导致最终用户只拥有最后设置的那部分权限。这是因为这两个方法的底层逻辑是替换而非追加权限集合。

问题根源 #

先拆解下UserBuilder的核心逻辑：

• roles("USER")会自动给角色名加上ROLE_前缀，转换成ROLE_USER权限，然后调用authorities()方法设置这个权限。
• 如果你之后再调用authorities("READ","WRITE")，会直接替换掉之前通过roles()设置的权限集合；反过来，如果先调用authorities()再调用roles()，前者的权限会被后者覆盖。

解决方案 #

你有两种靠谱的方式来同时配置角色和自定义权限：

方案1：统一使用authorities()方法，手动包含角色对应的权限

直接把角色转换成带ROLE_前缀的权限，和自定义权限一起传入authorities()：

@Bean 
public UserDetailsService userDetailsService() { 
    InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager(); 
    manager.createUser(User.withUsername("user")
        .password(passwordEncoder().encode("pass")) // 注意：Spring Security默认要求密码加密，务必添加这一步
        .authorities("READ", "WRITE", "ROLE_USER") // 同时包含自定义权限和角色对应的ROLE_权限
        .build()); 
    System.out.println("user created"); 
    return manager; 
}

// 配置密码编码器（测试用，生产环境请替换为BCryptPasswordEncoder等安全编码器）
@Bean
public PasswordEncoder passwordEncoder() {
    return NoOpPasswordEncoder.getInstance();
}

方案2：手动合并权限列表（适合习惯用roles()声明角色的场景）

如果你更倾向于用roles()来标记角色，可以手动把自定义权限和角色对应的权限合并后传入：

@Bean 
public UserDetailsService userDetailsService() { 
    InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager(); 
    // 手动构建所有权限：角色转换的ROLE_USER + 自定义READ、WRITE
    List<GrantedAuthority> authorities = new ArrayList<>();
    authorities.add(new SimpleGrantedAuthority("ROLE_USER"));
    authorities.add(new SimpleGrantedAuthority("READ"));
    authorities.add(new SimpleGrantedAuthority("WRITE"));
    
    manager.createUser(User.withUsername("user")
        .password(passwordEncoder().encode("pass"))
        .authorities(authorities)
        .build()); 
    System.out.println("user created"); 
    return manager; 
}

@Bean
public PasswordEncoder passwordEncoder() {
    return NoOpPasswordEncoder.getInstance();
}

额外小提醒 #

1. 密码加密是必须的：Spring Security 5+之后默认强制要求密码加密，直接用明文会导致认证失败，一定要配置PasswordEncoder。
2. Principal类型转换更稳妥的写法：在Controller中获取用户信息时，建议用UserDetails而非强转成User，避免后续自定义UserDetails实现时出现类型转换异常：

UserDetails userDetails = (UserDetails) SecurityContextHolder.getContext().getAuthentication().getPrincipal();

内容的提问来源于stack exchange，提问作者de_xtr