Вы включили аутентификацию на основе аннотаций в конфигурации безопасности?
* 1003 Е.Г. *
useRequestMapDomainClass = false
useControllerAnnotations = true
Кроме того, трижды проверьте, назначена ли роль (возможно, GORM молча провалил сохранение).
Вы можете распечатать полномочия, назначенные пользователю, просто чтобы убедиться.
например.
user.authorities.each {
it.authority
}