JHipster 4中@Secured注解使用非ROLE_前缀角色失效问题咨询

我明白你的困扰——因为系统集成要求必须使用不带ROLE_前缀的角色名SUPERVISED，但JHipster 4基于的Spring Security默认会对@Secured注解的角色自动添加ROLE_前缀进行校验，导致你的配置无法生效。下面是具体的解决办法：

问题根源 #

Spring Security默认的RoleVoter（角色投票器）会将@Secured中的角色名称自动拼接ROLE_前缀，再去匹配用户的权限列表。比如你用@Secured("SUPERVISED")，它实际会校验用户是否拥有ROLE_SUPERVISED权限，而不是你定义的SUPERVISED，这就是失效的核心原因。

解决方案：修改RoleVoter的前缀配置 #

JHipster 4的安全配置类（通常是SecurityConfiguration，位于config包下）中，默认配置了AccessDecisionManager并使用了RoleVoter。我们只需要修改这个投票器的前缀为空即可：

1. 找到SecurityConfiguration类中创建AccessDecisionManager的Bean定义（如果没有，就手动添加）：

@Bean
public AccessDecisionManager accessDecisionManager() {
    List<AccessDecisionVoter<? extends Object>> decisionVoters = new ArrayList<>();
    
    // 自定义RoleVoter，设置前缀为空
    RoleVoter roleVoter = new RoleVoter();
    roleVoter.setRolePrefix(""); // 关键：去掉默认的ROLE_前缀
    decisionVoters.add(roleVoter);
    
    decisionVoters.add(new AuthenticatedVoter());
    return new AffirmativeBased(decisionVoters);
}

2. 确保在configure(HttpSecurity http)方法中，应用这个自定义的决策管理器：

@Override
protected void configure(HttpSecurity http) throws Exception {
    // 保留你原有的其他安全配置...
    http
        .authorizeRequests()
            .accessDecisionManager(accessDecisionManager()) // 绑定自定义的决策管理器
            // 你的资源权限配置...
}

额外验证点 #

• 确认用户登录后，其Authentication对象中的GrantedAuthority列表确实包含SUPERVISED（而非ROLE_SUPERVISED）。如果你的用户权限是从其他系统同步过来的，要确保同步过程中没有自动添加ROLE_前缀。
• 如果你不想修改全局的RoleVoter，也可以在特定方法上使用@PreAuthorize("hasAuthority('SUPERVISED')")替代@Secured——hasAuthority会直接匹配权限名称，不会自动添加前缀。

这样配置后，你的@Secured({AuthoritiesConstants.SUPERVISED})就能正常生效了。

内容的提问来源于stack exchange，提问作者Orlando Yero