java - Spring Security 注解的排序

Question

如果一个方法有多个安全注释，它们的应用顺序是什么？

例如，它是定义注释的顺序，还是固定的，例如SecuredAnnotationSecurityMetadataSource 始终在 PrePostAnnotationSecurityMetadataSource 之前使用？

换句话来说，调用这些方法时的求值顺序是什么？

@Secured("ROLE_ADMIN")
@PreAuthorize("hasPermission(#target, 'read')")
void method1();

@PreAuthorize("hasPermission(#target, 'read')")
@Secured("ROLE_ADMIN")
void method2();

@PreAuthorize("hasRole('ADMIN') && hasPermission(#target, 'read')")
void method3();

@PreAuthorize("hasPermission(#target, 'read') && hasRole('ADMIN')")
void method4();

Answer 1

tl;dr:混合使用@Secured和@PreAuthorize不起作用。

详情here ，方法安全拦截器一旦找到第一个支持的注释就会停止。

for (MethodSecurityMetadataSource s : methodSecurityMetadataSources) {
    attributes = s.getAttributes(method, targetClass);
    if (attributes != null && !attributes.isEmpty()) {
        break;
    }
}

it's intentional that DelegatingMethodSecurityMetadataSource only uses one source of metadata, the first which returns a non-null result

顺序为@PreAuthorize ≻ @Secured ≻ @RolesAllowed。因此问题中的方法一和方法二实际上相当于

@PreAuthorize("hasPermission(#target, 'read')")
void method();

即@Secured 注释会被默默忽略。