Spring Security限制特定角色访问指定URL配置无效问题

嘿，我一眼就看出问题所在了——Spring Security的<security:intercept-url>规则是按配置顺序匹配的，先匹配到的规则会直接生效，后面的规则根本没机会执行！

你的问题根源 #

你当前把pattern="/**"放在了最前面，这意味着所有请求（包括/unauthorized）都会先匹配这个规则，只要用户拥有任意指定角色就允许访问。后面针对/unauthorized的两条拦截规则完全被跳过了，这就是为什么ROLE_SUPER_ADMIN角色仍能访问该页面的原因。

正确的配置方案 #

你需要调整拦截规则的顺序，把更具体的URL规则放在通用规则前面，同时可以合并/unauthorized的访问条件，让逻辑更清晰：

<security:http entry-point-ref="casEntryPoint" use-expressions="true">
    <!-- 先配置具体的/unauthorized规则，放在通用规则前面 -->
    <security:intercept-url pattern="/unauthorized" access="hasRole('ROLE_UNAUTHORIZED') and !hasAuthority('ROLE_SUPER_ADMIN')" />
    <!-- 通用规则放在最后，匹配所有其他请求 -->
    <security:intercept-url pattern="/**" access="hasAnyRole('All roles')" />
</security:http>

配置说明 #

1. 顺序调整：把/unauthorized的拦截规则放在最前面，确保Spring Security先检查这个具体URL的访问权限
2. 合并访问表达式：用and把两个条件合并，既要求用户拥有ROLE_UNAUTHORIZED角色，同时排除ROLE_SUPER_ADMIN角色
3. 通用规则兜底：/**规则放在最后，处理所有其他URL的访问权限

这样配置后，当ROLE_SUPER_ADMIN角色的用户访问/unauthorized时，会先匹配第一个规则，因为!hasAuthority('ROLE_SUPER_ADMIN')条件不满足，就会被拒绝访问；而其他符合条件的用户可以正常访问，其他URL则走通用规则。

内容的提问来源于stack exchange，提问作者sachin