hasRole('ADMIN') сам добавляет префикс ROLE_ и сравнивает с authority ROLE_ADMIN; hasAuthority('ROLE_ADMIN') сравнивает строку буквально. Оба сработают; hasRole('ROLE_ADMIN') — нет (с Spring Security 6 даже ошибка).
А ещё Права проверять через hasAuthority — меньше путаницы
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
Это источник постоянной путаницы, особенно при переходе на JWT, где список прав приходит из токена. Правило простое: hasRole('X') проверяет наличие authority 'ROLE_X', а hasAuthority('X') ищет ровно 'X'. Поэтому если в токене лежит 'ADMIN' без префикса, hasRole('ADMIN') не сработает — нужно либо hasAuthority('ADMIN'), либо настроить конвертер, добавляющий префикс при разборе токена. Заодно стоит помнить, что method security требует включения через @EnableMethodSecurity и работает через прокси, а значит подвержена той же проблеме self-invocation, что и @Transactional.
Один верный вариант. Подумайте, потом откройте ответ.
Структура и валидация JWT, проблема отзыва, роли OAuth2 и authorization code flow, OIDC, и авторизация на уровне методов.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.
sotto