Spring Security存在SimpleGrantedAuthority但hasRole失效问题排查

嘿，这个问题我之前踩过坑！核心原因是Spring Security的hasRole()方法有个容易被忽略的默认规则——它会自动给你传入的角色名前面加上ROLE_前缀来做权限匹配。

问题拆解 #

你的Role.ADMIN.getRoleName()返回的是"Admin"，但当你用hasRole("Admin")时，Spring Security实际是在检查当前用户是否拥有"ROLE_Admin"这个权限；而你的readAuthorities方法返回的权限列表里只有"Admin"，两者不匹配，自然就返回403禁止访问了。

几种解决方案 #

1. 给JWT解析出的角色添加ROLE_前缀

修改你的readAuthorities方法，在生成GrantedAuthority时加上前缀：

private static Collection<? extends GrantedAuthority> readAuthorities(DecodedJWT jwt) {
    // 假设从JWT中提取到的角色列表为roles
    List<GrantedAuthority> authorities = new ArrayList<>();
    for (String role : roles) {
        authorities.add(new SimpleGrantedAuthority("ROLE_" + role));
    }
    return authorities;
}

这样生成的权限就是"ROLE_Admin"，和hasRole("Admin")的匹配规则一致。

2. 使用hasAuthority()替代hasRole()

如果你不想修改角色前缀，可以用hasAuthority()方法，它不会自动添加前缀，直接匹配你传入的角色名：

protected void configure(HttpSecurity http) throws Exception { 
    http.csrf().disable(); 
    http.antMatchers(ADMIN).hasAuthority(Role.ADMIN.getRoleName())
    // 其他配置代码...
}

3. 全局关闭Spring Security的角色前缀（Spring Security 5.3+支持）

如果你想彻底去掉这个默认前缀规则，可以添加一个GrantedAuthorityDefaults的Bean：

@Bean
public GrantedAuthorityDefaults grantedAuthorityDefaults() {
    return new GrantedAuthorityDefaults(""); // 空字符串表示取消默认前缀
}

这样hasRole()也会直接匹配你传入的角色名，不需要额外加前缀。

总结 #

选哪种方案取决于你的项目规范：

• 遵循Spring Security默认规范就选方案1；
• 想保持原有角色名不变，方案2或3都可以。

内容的提问来源于stack exchange，提问作者Jackie