在Spring Security中，角色是一种带有前缀ROLE_的权限。
您为用户提供了权限STANDARD_USER，但由于它不是以ROLE_开头，因此它不是一个角色，而只是一个权限。
这意味着以下配置将不起作用：

.antMatchers(GET, "/api/**").hasRole("STANDARD_USER")

若要修正此问题，请给予您的使用者ROLE_STANDARD_USER权限，或将hasRole("STANDARD_USER")变更为hasAuthority("STANDARD_USER")。

我改了暗语：

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
            .withUser("john").password("{noop}1234").roles("STANDARD_USER")
            .and()
            .withUser("david").password("{noop}1234").roles("ADMIN");
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    //super.configure(http);
    http.httpBasic()
            .and()
            .authorizeHttpRequests()
            .antMatchers(GET, "/api/**").hasRole("STANDARD_USER")
            .and()
            .authorizeHttpRequests().anyRequest().denyAll()
            .and()
            .csrf().disable()
            .formLogin().disable();
}

很好用。谢谢。