基于Spring启动/Spring Security角色的授权无法正常工作[重复]

Question

我正在尝试用Spring Boot学习Spring Security性。我有一个我正在实现它的演示。它适用于登录页面和配置文件方法，可以由任何有效用户进行身份验证。但当我试图访问某个特定角色时，它不起作用，并给我一个“403-拒绝访问”。

我的接入点

    @Controller
public class HomeController {

    @RequestMapping("/")
    public String home() {
        return "/home.jsp";
    }

    @RequestMapping("/profile")
    public String profile() {
        return "/profile.jsp";
    }

    @RequestMapping("/admin")
    public String admin() {
        return "/admin.jsp";
    }

    @RequestMapping("/management")
    public String management() {
        return "/management.jsp";
    }

}

我的配置方法

    @Override
protected void configure(HttpSecurity http) throws Exception {
    http
            .csrf().disable()
            .authorizeRequests()
            .antMatchers("/login", "/").permitAll()
            .antMatchers("/profile").authenticated()
            .antMatchers("/admin").hasRole("ADMIN")
            .antMatchers("/management").hasAnyRole("ADMIN", "MANAGEMENT")
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .loginPage("/login").permitAll()
            .and()
            .logout().invalidateHttpSession(true)
            .clearAuthentication(true)
            .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
            .logoutSuccessUrl("/logout-success").permitAll();
}

我的角色分配

    @Override
public Collection<? extends GrantedAuthority> getAuthorities() {
    return Collections.singleton(new SimpleGrantedAuthority("ADMIN"));
}

Answer 1

我认为这是Spring Security最不明显的地方。角色和权限是一样的，但是角色的前缀应该是ROLE\uu。所以，正确的用法是

@Override
public Collection<? extends GrantedAuthority> getAuthorities() {
    return Collections.singleton(new SimpleGrantedAuthority("ROLE_ADMIN"));
}