java - 在 Controller 方法中的方法上使用 @PreAuthorize 注释

Question

这个问题已经有答案了:

@PreAuthorize on a nested method in Spring controller (2 个回答)

已关闭 5 年前。

我有一个基于 Spring WebMVC 和 Spring Security 的 Web 应用程序。我想在 @Controller 类中的方法内的方法上使用带有 SpEL 的 @PreAuthorize 注释。类似这样的事情:

@GetMapping(value= "/method")
public String exampleForMethodPreAuthorize() {
    if(methodController()){
        return "forMethodPreAuthorize";
    }
    else return null;
}

@PreAuthorize("hasRole('ADMIN')")
public final boolean methodController(){
    return true;
}

但是这不起作用。方法 methodController() 会为所有用户调用，即使没有 ADMIN。但尽管如此，该代码可以正常工作，并且该方法仅适用于管理员:

@PreAuthorize("hasRole('ADMIN')")    
@GetMapping(value= "/method")
public String exampleForMethodPreAuthorize() {

    return "forMethodPreAuthorize";       
}

我不明白，因为什么是错误？最终我使用组件扫描来搜索 Controller 类和定义

security:global-method-security pre-post-annotations="enabled"

在 ServletContext xml 配置中。

Answer 1

当您直接从 exampleForMethodPreAuthorize() 调用 methodController() 时，如果未通过代理调用，则该调用。只有代理调用才能通过带注释的行为得到增强。

归功于此答案:https://stackoverflow.com/a/28168213/1849366 。它还建议了两种解决方法。

选项 1:将 methodController() 方法移至另一个 bean。

选项 2:通过代理调用方法 methodController()，如下所示。

@GetMapping(value= "/method")
public String exampleForMethodPreAuthorize() {
    if(context.getBean(MyController.class).methodController()){
        return "forMethodPreAuthorize";
    }
    else return null;
}