spring-mvc - @PreAuthorize不会限制用户执行Access Controller操作

Question

使用Grails Spring Security和Spring Security ACL。
我有一个 Controller :

class AdminCompanyController {

  @PreAuthorize("hasRole('ROLE_ADMIN')")
  def create() {
    println("create")
    [company: new Company()]
  }

}

即使只有 ROLE_USER角色的用户也可以访问 create()操作。

我知道我可以使用spring安全注释 @Secured做到这一点，但是我想使用ACL做到这一点。

如何防止没有ROLE_ADMIN的用户使用ACL访问create()操作？

编辑:我使用Grails 2.4.5和

    compile ":spring-security-core:2.0-RC5"
    runtime ':spring-security-acl:2.0-RC2'

Answer 1

@PreAuthorize必须在服务中使用。在 Controller 中，您必须保留@Secured。