Spring Security@安全注释和用户权限

Question

这是关于SpringV.4(MVC+安全性）的。我实现了UserDetailsServiceImpl，其中在LoadUserByUserName方法中向用户授予其权限。让我们简单地说：

public UserDetails loadUserByUsername(String username) {
    ...     
    Collection<GrantedAuthority> authorities = new ArrayList<>();
    
    authorities.add(new SimpleGrantedAuthority("ADMIN"));
    
    return new org.springframework.security.core.userdetails.User(username, password, enabled, true, true, true, authorities);
    ...
}

还有一个安全控制器，其中有一个带有@securite注释的带注释的方法：

@Secured("ADMIN")
@RequestMapping(value = "/users", method = RequestMethod.GET)
public String users(Model model ...) { ... }

正如您在LoadUserByUserName方法中看到的，我显式地将Admin角色授予了用户。但是，当我尝试访问/users时，我得到一个访问被拒绝异常：

2016-04-19 10:25:16,899 DEBUG(http-nio-8080-exec-9)[org.springframework.security.web.Access.exceptiontranslationfilter]-访问被拒绝（用户不是匿名的）；委托到AccessDeniedHandler org.SpringFramework.Security.Access.Vote.AbstractAccessDecisionManager.CheckAllowifallabstainDecisions（AbstractAccessDecisionManager.java:70)在org.SpringFramework.Security.Access.Vote.AffirmativeBased.Decise（AffirmativeBased.java:88)在org.SpringFramework.Security.Access.Interceptor.BeforeInvocation（

（没有@securite注释，一切都正常运行）。

我错过了什么？

Answer 1

令人惊讶的是，问题出在角色名称上。由于defaultroleprefix设置为role_（请参见org.springframework.security.access.vote.rolevoter类），所以所有角色的名称都应该以role_前缀开头。换句话说，当我改变了

Authorities.add（new SimpleGrantedAuthority（“admin”））；至

Authorities.add（新建SimpleGrantedAuthority（“role_admin”））；

和@secreted（“admin”）到@secreted（“role_admin”）--一切都变得很好。