Grails 3.3.5集成Spring Security插件3.2.1权限控制失效求助

你遇到的核心问题是Spring Security过滤器链没有覆盖到/user/、/inputParam/chipInput/这些需要权限验证的路径**，导致配置的静态规则和@Secured注解都没有被生效执行。下面分点说明问题和解决办法：

1. 过滤器链配置缺失默认规则 #

看你提供的grails.plugin.springsecurity.filterChain.chainMap配置，只对静态资源设置了filters: 'none'，但没有定义其他所有请求需要经过Spring Security过滤器的规则。没有这个默认规则的话，Spring Security根本不会介入处理这些请求的权限校验，自然就会跳过登录验证直接允许访问。

修正后的chainMap配置 #

在现有chainMap的末尾添加默认规则：

grails.plugin.springsecurity.filterChain.chainMap = [
    [pattern: '/assets/**', filters: 'none'],
    [pattern: '/**/js/**', filters: 'none'],
    [pattern: '/**/css/**', filters: 'none'],
    [pattern: '/**/images/**', filters: 'none'],
    [pattern: '/**/favicon.ico', filters: 'none'],
    // 新增：所有其他请求都经过Spring Security过滤器链
    [pattern: '/**', filters: 'JOINED_FILTERS']
]

2. 静态规则的语法规范修正 #

你的静态规则里，[pattern: '/user/**', access: 'ROLE_USER']的access值是字符串，虽然插件可能兼容，但更规范且不易出错的写法是使用数组格式：

[pattern: '/user/**', access: ['ROLE_USER']],

另外，/inputParam/chipInput/的规则要注意路径末尾的斜杠，确保和实际请求路径匹配（如果请求是/inputParam/chipInput不带斜杠，这个规则可能不生效，建议调整为/inputParam/chipInput/**或者去掉末尾斜杠）。

3. 确认注解生效的前提 #

虽然你已经在控制器添加了@Secured('ROLE_USER')，但注解的生效依赖于Spring Security过滤器链的介入，所以第一步的chainMap修正才是关键。修正后注解和静态规则都会正常生效。

验证步骤 #

1. 替换修正后的配置
2. 重启应用
3. 尝试直接访问/user/**路径，应该会被重定向到登录页面
4. 用没有ROLE_USER权限的账号登录，访问该路径应该会被拒绝

内容的提问来源于stack exchange，提问作者SnehalP