@PreAuthorize 不限制用户访问控制器操作

Question

使用 Grails Spring Security 和 Spring Security ACL。 我有一个控制器：

class AdminCompanyController {

  @PreAuthorize("hasRole('ROLE_ADMIN')")
  def create() {
    println("create")
    [company: new Company()]
  }

}

即使只有角色ROLE_USER 的用户也可以访问create() 操作。

我知道我可以使用 spring 安全注释 @Secured 来做到这一点，但我想使用 ACL 来做到这一点。

如何防止没有 ROLE_ADMIN 的用户使用 ACL 访问 create() 操作？

编辑：我使用 Grails 2.4.5 和

    compile ":spring-security-core:2.0-RC5"
    runtime ':spring-security-acl:2.0-RC2'

Answer 1

@PreAuthorize 必须在服务中使用。在控制器中，您必须使用 @Secured。