Auth0授权扩展未将角色传递至Spring Security JWT对象问题

我来帮你搞定这个问题，先理清楚原因，再一步步解决：

Auth0默认不会自动把用户的角色添加到JWT令牌（不管是ID Token还是Access Token）里。角色属于用户的附加属性，得你主动配置Auth0的规则或授权设置，才会把角色注入到令牌中。

1. 在Auth0控制台配置规则，把角色注入JWT #

登录Auth0管理后台，进入Rules页面，点击「Create Rule」选择「Empty Rule」模板，添加以下代码：

function (user, context, callback) {
  // 从用户的app_metadata中获取角色列表（如果用了Auth0角色管理功能，可改为user.roles || []）
  const roles = user.app_metadata && user.app_metadata.roles ? user.app_metadata.roles : [];
  
  // 将角色添加到ID Token（供Spring Security身份验证使用）
  context.idToken['https://your-custom-domain/roles'] = roles;
  // 也可以同步添加到Access Token（如果需要用于API授权）
  context.accessToken['https://your-custom-domain/roles'] = roles;
  
  callback(null, user, context);
}

注意替换https://your-custom-domain/roles为你自定义的命名空间（必须是URL格式的字符串，这是Auth0的强制要求）。保存规则后，用户下次登录时，角色信息就会出现在JWT的Payload里。

2. 配置Spring Security，解析JWT中的角色 #

在你的Spring配置里，需要自定义JwtAuthenticationConverter来告诉框架如何提取角色信息：

@Bean
public JwtAuthenticationConverter jwtAuthenticationConverter() {
    JwtGrantedAuthoritiesConverter grantedAuthoritiesConverter = new JwtGrantedAuthoritiesConverter();
    // 对应你在Auth0规则里设置的角色声明键
    grantedAuthoritiesConverter.setAuthoritiesClaimName("https://your-custom-domain/roles");
    // 给角色添加Spring Security默认要求的"ROLE_"前缀
    grantedAuthoritiesConverter.setAuthorityPrefix("ROLE_");

    JwtAuthenticationConverter jwtAuthenticationConverter = new JwtAuthenticationConverter();
    jwtAuthenticationConverter.setJwtGrantedAuthoritiesConverter(grantedAuthoritiesConverter);
    return jwtAuthenticationConverter;
}

然后在SecurityFilterChain中注册这个转换器：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .antMatchers(ADMIN).hasRole(Role.ADMIN.getRoleName())
            .anyRequest().authenticated()
        )
        .oauth2ResourceServer(oauth2 -> oauth2
            .jwt(jwt -> jwt
                .jwtAuthenticationConverter(jwtAuthenticationConverter())
            )
        );
    return http.build();
}

3. 验证结果 #

用户重新登录后，解码JWT令牌就能在Payload里看到角色字段，类似这样：

{
  "iss": "...",
  "sub": "...",
  "aud": "...",
  "iat": "...",
  "exp": "...",
  "https://your-custom-domain/roles": ["ADMIN"]
}

此时再调用SecurityContextHolder.getContext().getAuthentication().getAuthorities()，就能拿到包含ROLE_ADMIN的授权集合了。

另外要确认：你在Auth0用户管理中确实给用户添加了对应角色（如果用的是Auth0原生角色管理，规则里可以直接用user.roles获取；如果是自定义存在app_metadata里，要确保字段名正确）。

内容的提问来源于stack exchange，提问作者Jackie