spring security 配置了访问权限管控

protected void configure(HttpSecurity http) throws Exception {
        //super.configure(http);
        // 定制请求的授权规则
        http
            .authorizeRequests()
                .antMatchers("/").permitAll()
                .antMatchers("/user/**").hasRole("USER")
                .antMatchers("/admin/**").hasRole("ADMIN")

然后前端登陆，访问需要权限的地址时出现

403 Forbidden

后台代码调试发现，报错信息如下：(拒绝访问（用户不是匿名的）；委托给Access Dead处理程序)

2018-10-12 16:22:30.101 DEBUG 2200 --- [http-nio-8080-exec-7] o.s.s.w.a.ExceptionTranslationFilter     :
    Access is denied (user is not anonymous); delegating to AccessDeniedHandler
    
org.springframework.security.access.AccessDeniedException: Access is denied
    at org.springframework.security.access.vote.AffirmativeBased.decide(AffirmativeBased.java:84) ~[spring-security-core-5.0.8.RELEASE.jar:5.0.8.RELEASE]

即用户没有访问的权限。

然后将调试信息往上翻了一下发现了如下内容：

2018-10-12 16:31:56.335 DEBUG 2200 --- [http-nio-8080-exec-7] o.s.s.w.a.i.FilterSecurityInterceptor    : Secure object: FilterInvocation: URL: /user; Attributes: [hasRole('ROLE_USER')]

2018-10-12 16:22:30.099 DEBUG 2200 --- [http-nio-8080-exec-7] o.s.s.w.a.i.FilterSecurityInterceptor    : Secure object: FilterInvocation: URL: /admin/; Attributes: [hasRole('ROLE_ADMIN')]

原来他会把设置的角色名自动加上 ‘ ROLE_ ’ 前缀。

所以在数据库中将角色名设置为带 ‘ ROLE_ ’ 前缀的值便能成功访问限制的地址

也可以在取值后添加 ‘ ROLE_ ’ 通过验证