Spring Security4：拥有ADMIN角色用户登录后仍重定向至访问被拒绝

我来帮你梳理下配置里的几个关键问题，这些大概率是导致ADMIN用户登录后被拒的原因：

1. 重复定义认证管理器引发的冲突 #

你的配置里同时存在两种认证管理器的定义方式：

• 手动创建的ProviderManager类型authenticationManager bean
• 用<authentication-manager>标签声明的认证管理器

这会导致Spring Security的认证逻辑混乱——标签声明的管理器虽然配置了密码编码器，但手动创建的提供者却没有关联编码器，两者的配置不一致会干扰正常认证流程。

解决办法：
删掉手动创建的daoAuthenticationProvider和ProviderManager，统一使用标签式配置，确保认证提供者正确绑定密码编码器：

<!-- 移除以下两个冗余bean -->
<!-- <beans:bean id="daoAuthenticationProvider" class="org.springframework.security.authentication.dao.DaoAuthenticationProvider">
    <beans:property name="userDetailsService" ref="customUserDetailsService" />
</beans:bean>
<beans:bean id="authenticationManager" class="org.springframework.security.authentication.ProviderManager">
    <beans:constructor-arg>
        <beans:list>
            <beans:ref bean="daoAuthenticationProvider" />
        </beans:list>
    </beans:constructor-arg>
</beans:bean> -->

<!-- 保留这个标签配置即可 -->
<authentication-manager id="authenticationManager">
    <authentication-provider user-service-ref="customUserDetailsService">
        <password-encoder ref="bcryptEncoder" />
    </authentication-provider>
</authentication-manager>

2. 重复配置登录过滤器导致流程异常 #

你既用了<form-login>配置表单登录，又手动声明了UsernamePasswordAuthenticationFilter bean，这会让过滤器链中存在重复的登录过滤器，可能覆盖默认认证逻辑，甚至导致认证成功后的跳转失效。

解决办法：
删掉手动声明的UsernamePasswordAuthenticationFilter bean，<form-login>已经帮你完成了这个过滤器的配置，并且已经关联了自定义的成功处理器：

<!-- 移除这个冗余bean -->
<!-- <beans:bean id="authenticationFilter" class="org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter">
    <beans:property name="authenticationManager" ref="authenticationManager" />
    <beans:property name="filterProcessesUrl" value="/login" />
    <beans:property name="usernameParameter" value="username" />
    <beans:property name="passwordParameter" value="password" />
</beans:bean> -->

3. 角色权限匹配的常见坑 #

Spring Security的hasRole('ADMIN')表达式默认会自动给角色名加上ROLE_前缀——也就是说，它实际检查的是用户是否拥有ROLE_ADMIN权限，而非你配置的ADMIN。

如果你的customUserDetailsService返回的用户权限是ADMIN（无前缀），这个表达式就会匹配失败，直接触发访问拒绝。

解决办法二选一：

• 方法一：把权限表达式改成hasAuthority('ADMIN')，这个表达式不会自动加前缀，直接匹配你返回的权限名：

<intercept-url pattern="/pages/admin.xhtml" access="hasAuthority('ADMIN')" />

• 方法二：在customUserDetailsService中给角色名加上ROLE_前缀，比如返回ROLE_ADMIN，这样hasRole('ADMIN')就能正常匹配。

4. 检查自定义认证成功处理器逻辑 #

确认你的CustomAuthenticationHandler没有硬编码错误的跳转逻辑，比如不管用户角色都强制跳转到拒绝页面，或者没有正确识别ADMIN角色。

给你一个参考示例，处理器应该根据用户角色动态跳转：

public class CustomAuthenticationHandler implements AuthenticationSuccessHandler {
    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        // 检查用户是否拥有ADMIN权限
        boolean isAdmin = authentication.getAuthorities().stream()
                .anyMatch(auth -> auth.getAuthority().equals("ADMIN"));
        if (isAdmin) {
            response.sendRedirect(request.getContextPath() + "/pages/admin.xhtml");
        } else {
            // 其他角色的跳转逻辑
            response.sendRedirect(request.getContextPath() + "/index.xhtml");
        }
    }
}

最后验证步骤 #

1. 确保用户密码是用bcryptEncoder加密后存储的，否则会导致认证失败
2. 登录后可以通过调试查看Authentication对象的权限列表，确认是否包含正确的ADMIN权限
3. 用浏览器隐身模式测试，避免session残留干扰

内容的提问来源于stack exchange，提问作者user972629