@PreAuthorize注解简介及其代码样例

一、@PreAuthorize 注解简介

@PreAuthorize是 Spring Security 框架中的一个注解，用于在方法执行之前进行权限校验。它允许你通过表达式来指定访问方法的条件，只有当表达式的结果为 true 时，方法才会被执行。

这个注解非常强大，可以基于用户的角色、权限、属性等进行灵活的权限控制。例如，你可以限制只有具有特定角色的用户才能访问某个方法，或者只有满足特定条件的用户才能执行特定的操作。

二、代码样例

以下是一个使用@PreAuthorize注解的简单示例：

import org.springframework.security.access.prepost.PreAuthorize;
import org.springframework.stereotype.Service;

@Service
public class MyService {

    @PreAuthorize("hasRole('ADMIN')")
    public void adminMethod() {
        // 只有具有 ADMIN 角色的用户才能执行此方法
        System.out.println("Admin method executed.");
    }

    @PreAuthorize("hasAnyRole('USER', 'MODERATOR')")
    public void userOrModeratorMethod() {
        // 具有 USER 或 MODERATOR 角色的用户可以执行此方法
        System.out.println("User or moderator method executed.");
    }
}

在上面的例子中，adminMethod方法只有当用户具有ADMIN角色时才能被执行，而userOrModeratorMethod方法只有当用户具有USER或MODERATOR角色时才能被执行。

你还可以使用更复杂的表达式，例如：

@PreAuthorize("hasRole('ADMIN') or #user.id == principal.id")
public void adminOrOwnerMethod(User user) {
    // 具有 ADMIN 角色的用户或者当前用户是传入用户的所有者时可以执行此方法
    System.out.println("Admin or owner method executed.");
}

在这个例子中，方法只有在用户具有ADMIN角色或者当前用户是传入的user对象的所有者时才能被执行。

通过使用@PreAuthorize注解，你可以在 Spring 应用中实现强大的权限控制，确保只有经过授权的用户才能访问特定的方法和资源。