问题一：
在您的配置代码中，看起来主要问题在于您的自定义授权逻辑@rbacService.hasPermission(request,authentication)被设置为anyRequest().access()，但这种方式可能会导致许多问题，包括Spring Security无法正确解析您的自定义逻辑并为请求提供正确的授权。

为了解决这个问题，建议使用更直接的方式配置自定义授权。您可以继承WebSecurityConfigurerAdapter并在configure(HttpSecurity http)方法中进行配置，以使用AccessDecisionManager来实现您的自定义授权逻辑。

首先，创建一个自定义的AccessDecisionManager实现，例如：

@Component
public class RBACAccessDecisionManager implements AccessDecisionManager {
    @Override
    public void decide(Authentication authentication, Object object, Collection<? extends GrantedAuthority> authorities) {
        // 在这里实现您的自定义授权逻辑，例如检查用户的权限是否包含请求的URL等
    }

    @Override
    public boolean supports(ConfigAttribute attribute) {
        return true;
    }

    @Override
    public boolean supports(Class<?> clazz) {
        return true;
    }
}

然后，在您的SecurityConfiguration中使用这个RBACAccessDecisionManager，并配置http.authorizeRequests().accessDecisionManager()，例如：

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
    @Autowired
    private RBACAccessDecisionManager rbacAccessDecisionManager;
    
    // ...

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/api/auth/**").permitAll()
                .anyRequest().authenticated()
                .accessDecisionManager(rbacAccessDecisionManager)
                .and()
            // 其他配置...
            .csrf().disable()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
            .cors().configurationSource(this.corsConfigurationSource())
            .and()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
            .addFilterBefore(jwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class);

    }

    // ...
}

在RBACAccessDecisionManager的decide()方法实现中，您可以使用authentication对象获取当前用户的信息，然后根据您的逻辑与用户权限进行比较，从而判断是否授权。

在你提供的代码中，存在两个问题：

问题1：校验总是返回false的原因
在你的代码中，将请求的URI作为权限进行校验，但是在用户的权限列表中，权限是以SimpleGrantedAuthority对象的形式存在的，而不是以字符串的形式。因此，直接使用authorities.contains(simpleGrantedAuthority)会返回false，因为集合中存储的是对象而不是字符串。

解决方法是，将请求的URI作为字符串进行比较，而不是SimpleGrantedAuthority对象。可以使用SimpleGrantedAuthority的getAuthority()方法获取权限的字符串表示形式，并与请求的URI进行比较，如下所示：

java
Copy code
String requiredAuthority = request.getRequestURI();
boolean contains = authorities.stream()
.anyMatch(authority -> authority.getAuthority().equals(requiredAuthority));
问题2：RBACService被调用两次的原因
在Spring Security中，为了进行请求匹配和授权决策，可能会对URL进行多次匹配。这可能导致自定义的RBACService被多次调用。

要解决这个问题，可以使用WebExpressionVoter的setAllowEmptyAuthorization方法将空的认证对象（没有认证信息）视为已授权。这样可以确保RBACService只在有认证信息时被调用一次。

在你的SecurityConfiguration类中，可以添加以下代码来解决这个问题：

java
Copy code
@Bean
public AccessDecisionManager accessDecisionManager() {
List<AccessDecisionVoter<?>> decisionVoters = Arrays.asList(
new WebExpressionVoter().setExpressionHandler(new DefaultWebSecurityExpressionHandler()),
new RoleVoter(),
new AuthenticatedVoter()
);

AffirmativeBased accessDecisionManager = new AffirmativeBased(decisionVoters);
accessDecisionManager.setAllowIfAllAbstainDecisions(false);

return accessDecisionManager;

}
这样配置后，RBACService应该只被调用一次。

希望以上解答能帮到你，如果还有其他问题，请随时提问。