Spring Security未按配置角色限制资源访问问题（Spring Boot）

你遇到的问题核心是安全规则的匹配范围和覆盖逻辑出错，导致权限限制没有作用到你测试的接口上。让我一步步帮你梳理清楚：

1. 核心问题定位 #

看你的SecurityConfig配置：

http.authorizeRequests().antMatchers("/login/**", "/register/**").permitAll();
http.authorizeRequests().antMatchers(HttpMethod.POST, "/studentResource/**").hasAuthority("ADMIN");
http.authorizeRequests().anyRequest().authenticated();

你只对POST方法的/studentResource/**接口设置了ADMIN权限要求，但你测试的/studentResource/getStudents是GET请求，这条请求会匹配到最后一条规则anyRequest().authenticated()——只要用户已登录（无论角色）就允许访问，这就是USER角色用户能直接访问的原因。

2. 修复方案 #

根据你的需求，提供两种常见的修复方式：

方式一：统一限制所有/studentResource接口为ADMIN权限 #

如果希望所有/studentResource下的接口（不管HTTP方法）都只能由ADMIN访问，修改配置如下：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable();
    http.formLogin();
    http.authorizeRequests()
        .antMatchers("/login/**", "/register/**").permitAll()
        .antMatchers("/studentResource/**").hasAuthority("ADMIN") // 去掉HttpMethod.POST，匹配所有HTTP方法
        .anyRequest().authenticated();
}

方式二：精细化配置不同接口/方法的权限 #

如果需要区分权限（比如部分GET接口允许USER访问，POST接口仅开放给ADMIN），可以这样配置：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable();
    http.formLogin();
    http.authorizeRequests()
        .antMatchers("/login/**", "/register/**").permitAll()
        // 允许USER角色访问指定的GET查询接口
        .antMatchers(HttpMethod.GET, "/studentResource/getStudents", "/studentResource/getStudentsByKW/**").hasAuthority("USER")
        // 所有POST类型的学生资源接口仅允许ADMIN访问
        .antMatchers(HttpMethod.POST, "/studentResource/**").hasAuthority("ADMIN")
        .anyRequest().authenticated();
}

3. 额外验证点 #

• 确认权限加载正确性：在UserDetalsServiceImpl的loadUserByUsername方法中添加日志，输出加载到的authorities，确保USER角色的用户确实只有"USER"权限，没有被错误赋予ADMIN权限。
• 注意权限前缀：因为你用的是hasAuthority，数据库中存储的角色名称不需要加ROLE_前缀；如果后续改用hasRole方法，数据库中的角色需要是"ROLE_ADMIN"格式，配置时写hasRole("ADMIN")即可。

调整后，USER角色用户访问需要ADMIN权限的接口时，就会收到预期的403 Forbidden响应了。

内容的提问来源于stack exchange，提问作者Soufiane Rabii