Spring Security 4中sec:authorize标签不生效问题求助

兄弟，这种情况我之前踩过好几次坑，大概率是下面几个原因中的一个，咱们挨个排查：

1. 角色前缀的匹配错误 #

Spring Security里的hasRole()方法（包括Thymeleaf的sec:hasRole表达式）会自动给传入的角色名加上ROLE_前缀。而你在配置内存用户时，如果用的是roles("ADMIN")，Spring也会自动为角色添加ROLE_前缀，最终用户的权限是ROLE_ADMIN。

但你现在写的是sec:authorize="hasRole('ROLE_ADMIN')"，这会导致Thymeleaf去检查用户是否拥有ROLE_ROLE_ADMIN这个角色——显然不存在，所以权限判断直接失效，div就会一直显示（Thymeleaf解析权限表达式失败时，默认会渲染元素）。

修复方式：

• 把sec标签改成sec:authorize="hasRole('ADMIN')"；
• 或者改用hasAuthority('ROLE_ADMIN')（hasAuthority不会自动添加前缀，更适合直接写完整权限名）。

2. 未引入Thymeleaf Spring Security命名空间 #

如果你的HTML页面根标签里没有添加Spring Security的Thymeleaf命名空间，浏览器会直接忽略所有sec:开头的属性，不管用户是什么角色，那个div都会显示。

检查你的<html>标签，确保包含这行：

xmlns:sec="http://www.thymeleaf.org/extras/spring-security"

如果没有，添加上即可。

3. 依赖版本不兼容 #

你引入的是thymeleaf-extras-springsecurity4，这个依赖对应Spring Security 4.x版本。如果你的项目用的是Spring Boot 2.x及以上（对应的Spring Security是5.x），版本不匹配会导致Thymeleaf无法正确解析Spring Security的权限表达式。

修复方式：
换成对应版本的依赖，比如使用thymeleaf-extras-springsecurity5（适配Spring Security 5.x），或者根据你实际使用的Spring Security版本调整依赖。

4. Spring Security配置未生效 #

检查你的Spring Security配置类：

• 是否添加了@EnableWebSecurity注解？
• 如果是Spring Security 5.7之前的版本，配置类是否继承了WebSecurityConfigurerAdapter？
• 如果是新版本，是否正确定义了SecurityFilterChain Bean，并且正确配置了用户认证和权限规则？

举个内存用户配置的正确示例（新版本写法）：

@Bean
public UserDetailsService userDetailsService() {
    UserDetails admin = User.withUsername("admin")
            .password("{noop}admin123") // {noop}表示不加密，仅测试用
            .roles("ADMIN")
            .build();
    UserDetails user = User.withUsername("user")
            .password("{noop}user123")
            .roles("USER")
            .build();
    return new InMemoryUserDetailsManager(admin, user);
}

确保用户的角色能被正确加载到Spring Security的认证体系中。

内容的提问来源于stack exchange，提问作者Gary