Spring Security 4.X标签库在JSF 2.X XML配置项目中无法生效

我之前也碰到过类似的坑，给你梳理几个排查方向和具体解决方案，应该能搞定这个问题：

1. 确认JSF页面正确引入标签库命名空间 #

虽然你已经添加了标签库依赖，但一定要在JSF页面的根标签里声明Spring Security的命名空间，否则标签根本不会被识别：

<html xmlns="http://www.w3.org/1999/xhtml"
      xmlns:h="http://java.sun.com/jsf/html"
      xmlns:sec="http://www.springframework.org/security/tags">

2. 配置Spring与JSF的EL解析器打通 #

JSF的EL上下文需要和Spring上下文关联，才能解析<sec:authorize>里的表达式，在faces-config.xml中添加以下配置：

<application>
    <el-resolver>org.springframework.web.jsf.el.SpringBeanFacesELResolver</el-resolver>
</application>

这个配置是让JSF能调用Spring的EL解析逻辑，是标签生效的关键一步。

3. 开启security.xml中的Web表达式支持 #

在你的<http>标签里必须添加use-expressions="true"，否则Spring Security不会启用hasRole()这类SpEL表达式的解析：

<http auto-config="true" use-expressions="true">
    <!-- 你的其他配置，比如intercept-url、form-login等 -->
</http>

如果没开这个，标签里的access属性会被当成传统的权限字符串处理，自然不会生效。

4. 验证用户实际拥有的角色 #

有时候标签不生效是因为用户登录后根本没有ROLE_ADMIN角色，可以在页面上打印用户权限来确认：

<h:outputText value="#{authentication.principal.authorities}" />

看看输出结果里有没有ROLE_ADMIN，如果没有，那问题出在用户认证环节，比如权限配置错误或者登录逻辑没正确赋予角色。

5. 检查Spring Security过滤器的映射范围 #

确保web.xml里的Spring Security过滤器能覆盖JSF请求（比如.xhtml后缀的页面），否则Spring Security不会处理这些请求，标签也不会生效：

<filter>
    <filter-name>springSecurityFilterChain</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
    <filter-name>springSecurityFilterChain</filter-name>
    <url-pattern>/*</url-pattern>
    <dispatcher>REQUEST</dispatcher>
    <dispatcher>FORWARD</dispatcher>
</filter-mapping>

/*的映射范围能覆盖所有请求，加上FORWARD调度器是为了处理页面跳转的场景。

6. 确保标签库依赖版本与Spring Security核心一致 #

你用的是Spring Security 4.2.3，要保证标签库依赖版本完全匹配，避免版本冲突：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-taglibs</artifactId>
    <version>4.2.3.RELEASE</version>
</dependency>

先按这些步骤逐一排查，大部分情况下都是其中某一步没配置到位，应该能解决你的问题。

内容的提问来源于stack exchange，提问作者Praveen H