Spring Security 白名单配置失效导致 403 错误：排查指南

出现 Spring Security 设置白名单后，访问接口仍然出现 403 错误的情况，可能是因为设置的白名单没有生效或者访问的接口没有正确配置权限。你可以按照以下步骤检查和调试：

确保白名单配置正确：在 Spring Security 的配置类中，使用 .antMatchers().permitAll() 方法设置白名单，确保 URL 模式与实际需要放行的 URL 匹配。例如：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers('/public/**').permitAll() // 设置白名单
            .anyRequest().authenticated()
            .and().csrf().disable();
    }
}

检查接口权限配置：如果白名单配置正确，但访问接口仍然返回 403 错误，可能是因为接口没有正确配置权限。确保需要访问的接口已经在 Spring Security 配置中设置了正确的权限要求。例如，如果你希望只有具有 'ROLE_ADMIN' 角色的用户才能访问接口，可以使用 .hasRole('ADMIN') 方法来配置：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers('/admin/**').hasRole('ADMIN') // 设置需要 ADMIN 角色才能访问的接口
            .anyRequest().authenticated()
            .and().csrf().disable();
    }
}

检查用户的权限：如果白名单和接口权限配置都正确，但仍然返回 403 错误，可能是因为访问的用户没有正确的权限。确保访问的用户具有正确的角色或权限。可以通过在代码中使用 @PreAuthorize 注解或在配置类中使用 .hasAuthority() 或 .hasAnyRole() 等方法来限制访问权限。

希望以上步骤能够帮助你解决问题。如果问题仍然存在，请提供更多的代码和错误信息，以便更好地帮助你找到解决方案。