Spring Security登录成功跳转后仍出现HTTP 403 Forbidden的原因排查

看起来你遇到的问题核心在于手动构建Authentication对象时没有正确设置权限和认证状态，咱们一步步拆解问题所在：

1. 登录流程的核心错误 #

你在登录成功后手动创建了UsernamePasswordAuthenticationToken，但用的是不带权限参数的构造方法：

new UsernamePasswordAuthenticationToken(
    authenticateRequest.getUsername(),
    authenticateRequest.getPassword()
);

这个构造方法有两个关键问题：

• 它只会设置用户名和密码，不会填充任何角色/权限信息。Spring Security的权限校验完全依赖Authentication对象里的authorities集合，所以即使你登录成功了，SecurityContext里的Authentication其实是个“空权限”对象，访问需要ADMIN/USER角色的/api/**路径时，自然会被拦截返回403。
• 用这个构造方法创建的Token默认是未认证状态（isAuthenticated()返回false），哪怕你认为登录成功了，Spring Security依然会把这个用户视为未通过认证的状态。

2. 正确的修复方式 #

登录成功后，你需要先获取当前用户对应的Role，然后调用Role枚举里的getAuthorities()拿到完整的权限列表，再用带权限参数的构造方法创建Authentication对象——这个构造方法会自动把Token标记为已认证状态，同时填充权限：

// 第一步：根据用户名从数据库/用户服务中获取用户的角色
Role userRole = yourUserService.getRoleByUsername(authenticateRequest.getUsername());

// 第二步：创建带完整权限的Authentication对象
UsernamePasswordAuthenticationToken authToken = new UsernamePasswordAuthenticationToken(
    authenticateRequest.getUsername(),
    authenticateRequest.getPassword(),
    userRole.getAuthorities() // 传入角色对应的所有权限（包括ROLE_ADMIN/ROLE_USER）
);

// 第三步：存入SecurityContext
SecurityContextHolder.getContext().setAuthentication(authToken);

这样处理后，SecurityContext里的Authentication就有了正确的角色权限，Spring Security就能正常通过hasAnyRole(Role.ADMIN.name(), Role.USER.name())的校验了。

3. 关于你尝试过的无效操作的解释 #

• 修改数据库列名为ROLE_USER没用：因为你的Role枚举已经在getAuthorities()方法中添加了ROLE_前缀的权限（new SimpleGrantedAuthority("ROLE_" + this.name())），所以数据库里存ADMIN/USER是完全正确的，不需要额外加前缀。
• @PreAuthorize("isAuthenticated()")和@Secured("ROLE_USER")无效：本质还是因为你之前创建的Authentication对象既没有权限，也不是已认证状态，所以这些注解的校验自然通不过。

备注：内容来源于stack exchange，提问作者Mantozi