作为 Spring 的安全注释的新手，我需要澄清以下代码。
@PostFilter("hasPermission(filterObject, 'READ') or hasRole('ROLE_ADMIN')")
public List<User> getUsers(String orderByInsertionDate,
Integer numberDaysToLookBack) throws AppException
所以这意味着 getUsers 返回的用户列表将只包含那些对调用对象具有完全"READ" 访问权限或调用对象具有"ROLE_ADMIN" 角色的元素。谢谢。
【问题讨论】：
标签： java spring spring-security annotations spring-annotations
其他答案非常清楚@PreFilter 和@PostFilter 的原理和效果。
我只是觉得有必要添加有关方法输出类型的信息 - 这两个注释都适用于集合、数组、流和映射。小心使用它们，例如Optional。虽然对我来说过滤 Optional 是很自然的（你认为它是最多包含一个元素的集合），但自 spring-security-core 5.4.1 以来这将引发以下异常：
java.lang.IllegalArgumentException：过滤器目标必须是集合、数组、映射或流类型，但是是可选的[0]
【讨论】：
由于当前接受的答案没有进入@PreFilter，这是我的两分钱：
（引用自JavaDocs）
用于指定方法过滤表达式的注释，该表达式将在调用方法之前进行评估。 要过滤的参数的名称是使用 filterTarget 属性指定的。这必须是支持 remove 方法的 Java Collection 实现。
@PreFilter 作用于方法参数，而不是返回值。如果注解的方法只有一个 Collection 参数，那么 filterTarget 注解参数可以省略。
【讨论】：
@PreFilter 和 @PostFilter 被指定与 Spring 安全性一起使用，以便能够根据授权过滤集合或数组。
要使其正常工作，您需要在 spring security 中使用基于表达式的访问控制（就像您在示例中所做的那样）
@PreFilter - 在执行方法之前过滤集合或数组。
@PostFilter - 执行方法后过滤返回的集合或数组。
所以，假设您的 getUser() 返回用户列表。 Spring Security 将遍历列表并删除应用表达式为 false 的任何元素（例如，不是管理员，并且没有读取权限）
filterObject 是执行过滤操作的内置对象，您可以对该对象应用各种条件（基本上所有内置表达式都可以在这里使用，例如principal，authentication），例如您可以
@PostFilter ("filterObject.owner == authentication.name")
虽然这些过滤器很有用，但对于大型数据集来说确实效率低下，而且基本上你会失去对结果的控制，而是由 Spring 控制结果。
【讨论】：