按url和角色列出的安全问题

Question

在一个扩展WebSecurityConfigureAdapter的类中，我使用以下代码通过url为不同的角色添加安全性。

    http.authorizeRequests().antMatchers(HttpMethod.GET, "/rest/setup/defaultpassword/**").hasRole("USER");
    http.authorizeRequests().antMatchers(HttpMethod.GET, "/rest/setup/commerces/**").hasRole("USER");
    http.authorizeRequests().antMatchers(HttpMethod.GET, "/rest/setup/tax").hasRole("USER");

    http.authorizeRequests().antMatchers("/rest/setup/tax").hasRole("ADMIN");
    http.authorizeRequests().antMatchers("/login").permitAll(); //
    http.authorizeRequests().antMatchers("/rest/**").authenticated();
    http.csrf().disable();
    http.exceptionHandling().authenticationEntryPoint(authenticationEntryPoint);

    http.formLogin().successHandler(authenticationSuccessHandler);
    http.formLogin().failureHandler(authenticationFailureHandler);
    http.logout().logoutUrl("/logout");
    http.logout().logoutSuccessUrl("/");

当我以用户角色登录时，我可以访问：/rest/setup/tax

当我使用管理员角色登录时，我可以访问 /rest/setup/tax

http://localhost:8080/rest/setup/tax403（禁止）

我搜索只提供get for user角色和admin one的所有内容。

Answer 1

表权限将有两列，如用户名、权限，列权限中指定的角色应带有前缀role\uu，例如role\u ADMIN

更新：

1. RoleVoter。爪哇

https://github.com/spring-projects/spring-security/blob/master/core/src/main/java/org/springframework/security/access/vote/RoleVoter.java

Spring security在所有角色名称中添加了前缀“ROLE\uu”？