Spring Security 中的权限注解很神奇吗？

最新推荐文章于 2025-06-03 21:47:04 发布

原创

最新推荐文章于 2025-06-03 21:47:04 发布 · 1.5k 阅读

8 ·

CC 4.0 BY-SA版权

文章标签：

#java #spring #spring boot

本文探讨了Spring Security中的@PreAuthorize权限注解的使用，通过讲解SpEL（Spring Expression Language）来帮助理解其工作原理。文章首先介绍了SpEL的基础知识，包括表达式的解析和执行，以及如何在表达式中引用对象和调用方法。接着，文章详细解释了@PreAuthorize注解的权限检查流程，涉及到Spring Security的FilterSecurityInterceptor和PreInvocationAuthorizationAdviceVoter。最后，文章强调了学习SpEL的重要性，以便更好地理解和利用Spring Security的注解授权。

最近有个小伙伴在微信群里问 Spring Security 权限注解的问题：

很多时候事情就是这么巧，松哥最近在做的 tienchin 也是基于注解来处理权限问题的，所以既然大家有这个问题，咱们就一块来聊聊这个话题。

当然一些基础的知识我就不讲了，对于 Spring Security 基本用法尚不熟悉的小伙伴，可在公众号后台回复 ss，有原创的系列教程。

1. 具体用法

先来看看 Spring Security 权限注解的具体用法，如下：

@PreAuthorize("@ss.hasPermi('tienchin:channel:query')")
@GetMapping("/list")
public TableDataInfo getChannelList() {
    startPage();
    List<Channel> list = channelService.list();
    return getDataTable(list);
}

类似于上面这样，意思就是说，当前用户需要具备 tienchin:channel:query 权限，才能执行当前的接口方法。

那么要搞明白 @PreAuthorize 注解的原理，我觉得得从两个方面入手：

首先明白 Spring 中提供的 SpEL。
其次搞明白 Spring Security 中对方法注解的处理规则。

我们一个一个来看。

2. SpEL

Spring Expression Language(简称 SpEL)是一个支持查询和操作运行时对象导航图功能的强大的表达式语言。它的语法类似于传统 EL，但提供额外的功能，最出色的就是函数调用和简单字符串的模板函数。

SpEL 给 Spring 社区提供一种简单而高效的表达式语言，一种可贯穿整个 Spring 产品组的语言。这种语言的特性基于 Spring 产品的需求而设计，这是它出现的一大特色。

在我们离不开 Spring 框架的同时，其实我们也已经离不开 SpEL 了，因为它太好用、太强大了，SpEL 在整个 Spring 家族中也处于一个非常重要的位置。但是很多时候，我们对它的只了解一个大概，其实如果你系统的学习过 SpEL，那么上面 Spring Security 那个注解其实很好理解。

我先通过一个简单的例子来和大家捋一捋 SpEL。

为了省事，我就创建一个 Spring Boot 工程来和大家演示，创建的时候不用加任何额外的依赖，就最最基础的依赖即可。

代码如下：

String expressionStr = "1 + 2";
ExpressionParser parser = new SpelExpressionParser();
Expression exp = parser.parseExpression(expressionStr);

expressionStr 是我们自定义的一个表达式字符串，这个字符串通过一个 ExpressionParser 对象将之解析为一个 Expression，接下来就可以执行这个 exp 了。

执行的时候有两种方式，对于我们上面这种不带任何额外变量的，我们可以直接执行，直接执行的方式如下：

Object value = exp.getValue();
System.out.println(value.toString());

这个打印结果为 3。

我记得之前有个小伙伴在群里问想执行一个字符串表达式，但是不知道怎么办，js 中有 eval 函数很方便，我们 Java 中也有 SpEL，一样也很方便。

不过很多时候，我们要执行的表达式可能比较复杂，这时候上面这种调用方式就不太够用了。

此时我们可以为要调用的表达式设置一个上下文环境，这个时候就会用到 EvaluationContext 或者它的子类，如下：

StandardEvaluationContext context = new StandardEvaluationContext();
System.out.println(exp.getValue(context));

当然上面这个表达式不需要设置上下文环境，我举一个需要设置上下文环境的例子。

例如我现在有一个 User 类，如下：

public class User {
    private Integer id;
    private String username;
    private String address;
    //省略 getter/setter
}

现在我的表达式是这样：

String expression = "#user.username";
ExpressionParser parser = new SpelExpressionParser();
Expression exp = parser.parseExpression(expression);
StandardEvaluationContext ctx = new StandardEvaluationContext();
User user = new User();
user.setAddress("广州");
user.setUsername("javaboy");
user.setId(99);
ctx.setVariable("user", user);
String value = exp.getValue(ctx, String.class);
System.out.println("value = " + value);

这个表达式就表示获取 user 对象的 username 属性。将来创建一个 user 对象，