Spring Security 4.2.5多角色配置加载失败问题求助

这个问题我太熟悉了——你踩了Spring Security版本升级后的语法兼容坑，直接用逗号分隔角色的写法在4.x版本里已经不被支持，这就是导致应用上下文加载失败的核心原因。

故障根源 #

从Spring Security 3.x开始，access属性默认启用了**SpEL（Spring表达式语言）**解析规则，彻底抛弃了更早版本（比如2.x）里直接用逗号分隔角色的简单写法。你写的"ROLE_SOMETHING_COMPLETELY_DIFFERENT,ROLE_ONE,ROLE_TWO"会被当成一个完整的SpEL表达式解析，这种纯逗号分隔的格式完全不符合SpEL语法规范，自然会抛出IllegalArgumentException。

解决方案 #

有两种标准写法可以替代原来的错误格式：

1. 使用hasAnyRole()表达式（推荐）

这个方法专门用于匹配多个角色，而且不需要手动添加ROLE_前缀（Spring Security会自动为你追加前缀）：

<security:http>
    <security:intercept-url pattern="/api/doSomething*" access="hasAnyRole('SOMETHING_COMPLETELY_DIFFERENT', 'ONE', 'TWO')"/>
    <security:form-login />
    <security:logout />
</security:http>

2. 使用hasRole()结合逻辑或（OR）

如果需要更明确的逻辑表达，也可以用多个hasRole()通过or关键字连接：

<security:http>
    <security:intercept-url pattern="/api/doSomething*" access="hasRole('SOMETHING_COMPLETELY_DIFFERENT') or hasRole('ONE') or hasRole('TWO')"/>
    <security:form-login />
    <security:logout />
</security:http>

额外说明：保留ROLE_前缀的写法

如果你习惯手动写ROLE_前缀，可以用hasAuthority()或hasAnyAuthority()方法，它们会直接匹配你传入的完整权限字符串，不会自动添加前缀：

<security:intercept-url pattern="/api/doSomething*" access="hasAnyAuthority('ROLE_SOMETHING_COMPLETELY_DIFFERENT', 'ROLE_ONE', 'ROLE_TWO')"/>

验证方式 #

修改配置后重启应用，应用上下文应该能正常加载；访问/api/doSomething*路径时，只有拥有指定角色的用户才能通过权限校验。

内容的提问来源于stack exchange，提问作者Niko