spring - 在 Spring @PreAuthorize 中调用私有(private)方法

Question

我正在使用 Spring Security 对方法进行权限检查。我想调用一个私有(private)方法来收集一些数据发送到 hasPermission() 方法。以下是我尝试执行的操作，我得到 SpelEvaluationException，因为 Spring 正在 MethodSecurityExpressionRoot 中寻找 localPrivateMethod。有没有办法做到这一点？谢谢。

@PreAuthorize("hasPermission(new Object[]{#arg3, #localPrivateMethod(#arg1,#arg2)}, 'canDoThis')")  
public long publicMethod1(long arg1, long arg2, long arg3) {}

private String localPrivateMethod(long a1, long a2) {}

Answer 1

您将无法调用私有(private)方法，但可以调用另一个 Spring bean 中的方法。在我的应用程序中，我有一个名为 permissionEvaluator 的 @Component。然后我像这样在@PreAuthorize 中引用它:

@PreAuthorize("@permissionEvaluator.canViewImageSet( #imageSet, principal )")
@RequestMapping(value="/image", method=RequestMethod.GET )
public String getImage(
        @RequestParam(value="imageSet", required=false) ImageSet imageSet ) {
    // method body
}

PermissionEvaluatorImpl 看起来像这样:

@Component(value="permissionEvaluator")
public class PermissionEvaluatorImpl implements PermissionEvaluator
{
    public PermissionEvaluatorImpl() {}

    /**
     * Determine if a user can view a given image.
     */
    public boolean canViewImageSet( ImageSet imageSet, UserDetailsAdapter user )
    {
        // code to see if they should view this image
    }
}

PermissionEvaluator 是我自己的接口(interface)，没有什么特别之处，只是我需要评估的任何方法。