为何Thymeleaf无法解析${#authorization.expression('hasRole(''ROLE_ADMIN'')')}表达式？

我来帮你解决这个Thymeleaf解析Spring Security授权表达式的问题，咱们一步步来排查和修复：

1. 确保引入了Thymeleaf Spring Security集成依赖 #

要让Thymeleaf支持Spring Security的授权表达式，你必须添加对应的集成依赖。如果是Spring Boot项目，在pom.xml（Maven）里加上：

<!-- Thymeleaf核心依赖 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-thymeleaf</artifactId>
</dependency>
<!-- Spring Security集成Thymeleaf的扩展 -->
<dependency>
    <groupId>org.thymeleaf.extras</groupId>
    <artifactId>thymeleaf-extras-springsecurity5</artifactId>
    <!-- 如果你的Spring Security是6.x版本，换成thymeleaf-extras-springsecurity6 -->
</dependency>

如果用Gradle，对应的依赖配置：

implementation 'org.springframework.boot:spring-boot-starter-thymeleaf'
implementation 'org.thymeleaf.extras:thymeleaf-extras-springsecurity5' // Spring Security 5.x
// implementation 'org.thymeleaf.extras:thymeleaf-extras-springsecurity6' // Spring Security 6.x

2. 在Thymeleaf模板中添加Spring Security命名空间 #

在你的HTML模板的根标签上，必须引入Spring Security的Thymeleaf命名空间，这样才能识别授权相关的属性：

<html xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/extras/spring-security">

3. 修正授权表达式的写法 #

你原来的${#authorization.expression('hasRole(''ROLE_ADMIN'')')}写法不仅繁琐，还容易出错，更推荐使用Thymeleaf提供的sec:专属属性，写法更简洁直观：

方式一：使用sec:authorize属性（推荐） #

直接在需要控制显示的元素上添加该属性，无需嵌套在th:if里：

<div sec:authorize="hasRole('ROLE_ADMIN')">
    只有拥有ROLE_ADMIN角色的用户才能看到这个内容
</div>

方式二：如果非要用th:if结合表达式 #

如果你坚持使用th:if，正确的表达式写法应该是：

<div th:if="${#authorization.expression('hasRole(''ROLE_ADMIN'')')}">
    只有管理员可见的内容
</div>

注意这里的双引号嵌套处理，内部的单引号需要转义成两个单引号。

4. 确认Spring Security配置的角色匹配逻辑 #

检查你的数据库查询语句${spring.queries.roles-query}返回的角色是否带有ROLE_前缀。因为Spring Security的hasRole()方法默认会自动添加ROLE_前缀（除非你在配置里修改了rolePrefix），所以如果你的数据库里存储的角色是ADMIN而不是ROLE_ADMIN，那hasRole('ROLE_ADMIN')会匹配失败，此时你可以：

• 要么修改数据库中的角色为ROLE_ADMIN
• 要么在jdbcAuthentication()配置里添加.rolePrefix("")去掉默认前缀：

auth.jdbcAuthentication()
    .dataSource(dataSource)
    .usersByUsernameQuery(usersQuery)
    .authoritiesByUsernameQuery(rolesQuery)
    .passwordEncoder(bCryptPasswordEncoder)
    .rolePrefix(""); // 去掉默认的ROLE_前缀

内容的提问来源于stack exchange，提问作者Aaengeneer