类型级别上的 Spring Security @PreAuthorize 不能在方法级别上被覆盖

Question

我正在尝试在类型级别使用@PreAuthorize 注释保护控制器，并尝试通过使用不同的@PreAuthorize 注释某些方法来覆盖该行为。然而问题是，Spring首先评估方法注释（授予访问权限），然后评估类注释（拒绝访问）。

有没有办法颠倒这个顺序？我还想不通。

编辑：

在方法级别，我只想授予非注册用户访问权限：

@PreAuthorize("isAnonymous()")
@RequestMapping(value = "/create", method = RequestMethod.GET)
public String renderCreateEntity(ModelMap model) {
    return userService.renderCreateEntity(model);
}

然而，此控制器的标准应该是只允许经过完全身份验证的用户：

@Controller
@RequestMapping(value = "/user")
@PreAuthorize("isFullyAuthenticated()")
public class UserController { [...] }

在调试单步调试应用时，我看到首先评估 isAnonymous()，然后评估 isFullyAuthenticated()，从而导致授予访问权限并立即再次拒绝访问。

Answer 1

感谢您的所有回复。 然而，答案是完全不同的:)

我把这个放在这里以防其他人有同样的问题。

我在 @InitBinder 带注释的方法中注册了一个自定义验证器。在控制器上请求的方法调用之后调用此绑定方法。而且由于这个绑定方法没有用@PreAuthorize注解，所以请求被拒绝了。

解决方案是像这样注释绑定方法：

@InitBinder
@PreAuthorize("permitAll")
public void initBinder(WebDataBinder binder) {
    binder.setValidator(validator);
}

然后，来自我的 OP 的方法调用按预期进行评估。

Answer 2

问题不在于您需要更改授予和拒绝的顺序。问题很简单，方法级别的注释覆盖类级别的注释。

PrePostAnnotationSecurityMetadataSource Java Doc:

可以在类或方法上指定注释，并且特定于方法的注释将优先。

这个逻辑的具体实现在PrePostAnnotationSecurityMetadataSource类的方法findAnnotation中完成。 （不幸的是，这个方法是私有的。）

所以你可以自己写MethodSecurityMetadataSource，如果你看看PrePostAnnotationSecurityMetadataSource的代码，你就会发现它是多么的容易。

但最后有一个警告：结束：困难的任务不是重写方法，困难的任务是将新的MethodSecurityMetadataSource“注入”到安全系统中。我相信你不能用 spring 安全命名空间配置来做到这一点，所以你需要通过显式 bean 声明来替换 spring 安全命名空间。