Spring Security使用hasAuthority无法正确识别Auth0 OAuth权限导致403的问题排查

看起来你遇到的问题是Spring Security默认的权限解析逻辑和Auth0返回的Token结构不匹配导致的，我来帮你理清楚问题出在哪，以及怎么解决：

问题根源 #

Spring Security的JwtAuthenticationConverter默认只会解析Token里的scope（或scp）字段，把每个Scope值加上SCOPE_前缀作为权限标识。但你的Auth0 Token里，真正的接口权限是存在permissions数组里的（比如read:actuators），而scope字段只有openid profile email，所以默认逻辑根本找不到你配置的SCOPE_read:actuators权限，自然就返回403了。

解决方案：自定义权限转换器 #

你需要自定义一个JwtAuthenticationConverter，让Spring Security从Token的permissions字段提取权限，而不是默认的scope字段。

1. 创建自定义JWT权限转换器Bean

@Bean
public JwtAuthenticationConverter jwtAuthenticationConverter() {
    // 自定义权限提取规则
    JwtGrantedAuthoritiesConverter grantedAuthoritiesConverter = new JwtGrantedAuthoritiesConverter();
    // 指定从Token的"permissions"字段读取权限
    grantedAuthoritiesConverter.setAuthoritiesClaimName("permissions");
    // 取消默认的"SCOPE_"前缀（因为你的权限本身就是"read:actuators"这种格式）
    grantedAuthoritiesConverter.setAuthorityPrefix("");

    JwtAuthenticationConverter jwtAuthenticationConverter = new JwtAuthenticationConverter();
    jwtAuthenticationConverter.setJwtGrantedAuthoritiesConverter(grantedAuthoritiesConverter);
    return jwtAuthenticationConverter;
}

2. 在SecurityFilterChain中配置这个转换器

修改你的filterChain方法，把自定义的转换器关联到OAuth2资源服务器的JWT配置里，同时调整hasAuthority的参数：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http.oauth2Login(AbstractHttpConfigurer::disable)
        // 配置OAuth2资源服务器，关联自定义转换器
        .oauth2ResourceServer(oauth2 -> oauth2
            .jwt(jwt -> jwt
                .decoder(jwtDecoder())
                .jwtAuthenticationConverter(jwtAuthenticationConverter())
            )
        )
        .sessionManagement((session) -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
        .authorizeHttpRequests((authz) -> authz
            .requestMatchers(new AntPathRequestMatcher("/actuator/**"))
                // 现在直接用permissions里的原始值，不需要加SCOPE_前缀
                .hasAuthority("read:actuators")
            .anyRequest().authenticated()
        );
    return http.build();
}

额外注意点 #

• 确保你的curl请求用正确的格式：curl http://localhost:8080/actuator -v -H "Authorization: Bearer <你的Token>"，不要用OAuth作为认证类型
• 检查Token里的permissions字段值和hasAuthority的参数完全一致（大小写、符号都不能错）
• 确认自定义转换器已经被正确注入到Spring容器中

备注：内容来源于stack exchange，提问作者Jackie