Почему кастовом запросе к БД возвращается 403 в Spring?

Question

[Nulltiton]

В приложении есть станица с пользователями. Написал метод, в котором идет редирект на индекс:

@GetMapping({"/index", "/", ""})
    public String showMainPage(Model model)
    {
        //model.addAttribute("users", userService.getUsers());
        return "users/index";
    }

Если закомментировать вывод данных, то шаблон загружается нормально, если загружаются данные, то получаю 403 ошибку. Все термиты и авторитет прописаны верно (с другой формы загружал часть этой информации), связи между таблицами тоже рабочие. В сервисе метод выглядит следующим образом:

public List<User> getUsers()  {
        return userRepository.getAllUsers();
    }

В userRepository пишу кастомные запрос (пробовал findAll - ошибка та же):

@Modifying
    @Query(
            "SELECT u.id, u.username, u.password, u.email," +
                    "u.email, u.enabled, uf.birthDate, uf.firstName," +
                    "uf.middleName, uf.lastName, uf.phoneNumber, uf.licenseNumber," +
                    "uf.licenseSeries, o.name, u.authorities "+
                    "FROM User u," +
                    "UserInfo uf," +
                    "Organization o " +
                    "WHERE u.userInfo = uf.user " +
                    "AND u.organization.id = o.id"
    )
    List<User> getAllUsers();

Связи у user:

@ManyToOne(cascade = {CascadeType.PERSIST, CascadeType.MERGE}, fetch = FetchType.EAGER)
    @JoinColumn(name = "organization_id")
    private Organization organization;

    @OneToOne(mappedBy = "user")
    private UserInfo userInfo;

    @ManyToMany(cascade = {CascadeType.PERSIST, CascadeType.MERGE}, fetch = FetchType.EAGER)
    @JoinTable(
            name = "user_role",
            joinColumns = {@JoinColumn(name = "user_id")},
            inverseJoinColumns = {@JoinColumn(name = "role_id")}
    )
    private Set<Role> authorities = Collections.emptySet();

Связи у userInfo:

@OneToOne(optional = false)
    @JoinColumn(name = "user_id", insertable = false, updatable = false, unique = true)
    private User user;

Связи у организации:

@Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

Подскажите, в чем может быть дело? Куда приблизительно копать?

Comments

[ThunderCat]

Какая дб? Запрос руками пробовали запускать в консоли?

[Nulltiton]

ThunderCat, mysql, запускать не пробовал, но этот запрос скопирован с другого, который работал

Answer 1

[Евгений Механиков]

403 значит что пользователь не авторизован
Вероятно, в userService настроена проверка по ролям и от того при вызове методов из userService происходит ошибка

Comments

[Nulltiton]

К сожалению нет, все проверил, даже сделал для этого адреса permitAll, в userService вернул базовый JPA метод findAll, но не помогло. Про ошибку знаю, не знаю, как это лечить

Answer 2

[Nulltiton]

Оказывается дело было в том, что spring Security требует префикс ROLE_ перед каждой ролью

Comments

[Александр Опарин]

Этот префикс можно менять
https://github.com/spring-projects/spring-security...