Spring Security-@PreAuthorize 权限注解分析

最新推荐文章于 2025-02-22 16:31:00 发布
最新推荐文章于 2025-02-22 16:31:00 发布
阅读量2.6w 收藏 4
点赞数
CC 4.0 BY-SA版权
文章标签： spring PreAuthorize
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/inthat/article/details/108225481
本文详细介绍了Spring Security的@PreAuthorize注解，用于在方法级别进行权限验证。通过@PreAuthorize("hasAuthority('xxx')")，可以检查当前用户角色是否包含特定权限。当权限匹配时允许访问，否则返回403错误。文章还探讨了如何自定义接口权限判断工具，通过SecurityContextHolder获取授权信息，并进行字符串匹配来确定权限。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

文章目录

一、@PreAuthorize

@PreAuthorize 权限注解分析
参考URL: https://segmentfault.com/a/1190000023893122
Spring-Security@PreAuthorize(“hasAuthority(’’)”)源码分析
参考URL: https://blog.youkuaiyun.com/guoke2017/article/details/94439661

@PreAuthorize(“hasAuthority(‘xxx’)”)用来鉴别当前登录用户所拥有的角色是否有xxx权限访问该接口。

@PreAuthorize 注解，顾名思义是进入方法前的权限验证，@PreAuthorize 声明这个方法所需要的权限表达式，例如：@PreAuthorize(“hasAuthority(‘sys:dept:delete’)”)，根据这个注解所需要的权限，再和当前登录的用户角色所拥有的权限对比，如果用户的角色权限集Set中有这个权限，则放行；没有，拒绝。

在这里插入图片描述查看该注解源码，根据描述，进入方法前判断el表达式。

el表达式返回true通过，返回false 拒绝访问403。

了解本专栏 订阅专栏 解锁全文 超级会员免费看
SpringBoot方法级安全(@PreAuthorize)全解：从基础到高阶的细粒度权限控制实战
专注Java开发与国产数据库技术分享，涵盖达梦DM8/OceanBase/GaussDB核心原理与实战，兼及DeepSeek大模型部署、YOLOv11训练等AI技术，为开发者提供从基础到进阶的技术干货。
06-06 1739
摘要 文章介绍了Spring Security中的方法级安全机制(@PreAuthorize)，与URL级安全相比，它提供了更精细的方法级别权限控制。主要内容包括：方法级安全的概念及优势、环境配置步骤、@PreAuthorize注解的语法和常用表达式、基础使用示例以及基于SpEL表达式的高级用法。方法级安全适用于复杂业务场景，能实现基于角色、权限或自定义逻辑的访问控制，相比URL级安全具有更高的灵活性和更小的性能影响。文章还提供了配置示例、权限表达式对照表以及工作流程示意图，帮助开发者快速掌握这一安全机制。
Spring Security权限注解@PreAuthorize通俗讲解
m0_53370922的博客
05-20 6192
写在前面：后端就是后端，后端接口权限和前端可以想成没有任何关系，千万不要被所谓的路由、所谓的那些按钮、权限标识在哪个菜单下所迷惑（只要保证接口权限字符串在用户菜单权限下即可，除此之外，在哪个菜单或按钮都行）！（后端的我们就用接口测试工具测试，所以不要被前端界面的这些东西所迷惑） 图1 简单举例子说，后端有这么一个接口，图2，这个权限标识不一定非得放在图1所示的菜单下才起作用。比如admin用户拥有所有菜单的权限，那么你将test: one:testForm:list放到任何一个菜单下，用户admin都可以访
15.Spring Boot 使用Spring security
编码语言Codelang
01-03 3万+
玩转Spring Boot 使用Spring security Spring Boot与Spring Security在一起开发非常简单，充分体现了自动装配的强大，Spring Security是Spring Boot官方推荐使用的安全框架。配置简单，功能强大。接下来将说说Spring Boot使用Spring security进行安全控制。
详细分析SpringSecurity中的@PreAuthorize注解
码农研究僧的博客
01-27 1万+
在Java中，`@PreAuthorize` 是Spring Security框架中的一个注解，用于在方法调用之前对用户的权限进行验证。 允许在方法级别定义访问控制规则，确保只有满足指定条件的用户才能调用该方法 这个注解通常与Spring的AOP（面向切面编程）结合使用，推荐阅读： Spring框架从入门到学精（全） java框架 零基础从入门到精通的学习路线 附开源项目面经等（超全）
Spring Security 之方法级的安全管控@PreAuthorize
weixin_42030357的博客
03-07 3398
文章目录1. JSR-205 注解2.@Secured 注解3.@PreAuthorize 类型的注解(支持 Spring 表达式)3.1SPEL表达试（bean引用）3.2 @PreAuthorize 表达式1. returnObject 保留名2. 表达式中的 # 号3. 内置表达式有:例子SecurityConfig 配置类BookService 配置类 原博文，点击这里 默认情况下, Spring Security 并不启用方法级的安全管控. 启用方法级的管控后, 可以针对不同的方法通过注解设置不同
@PreAuthorize注解
先知三日
01-12 6773
例如，v-hasPermi="['monitor:job:add']"会检查用户是否具有monitor:job:add这个权限，如果有，那么相关的UI元素就会显示。用户此时已经登陆系统，假设用户操作的是角色管理模块的查询按钮，当点击该按钮时，会通过网络映射到后端的接口方法。通过这种方式，RuoYi框架可以实现精细的基于权限的访问控制，确保只有具有相应权限的用户才能访问特定的资源。如果当前用户的权限集合中，包含当前被@PreAuthorize标注的方法的权限，则返回true。等集合信息返回给前端。
Spring Security 之方法级的权限管控 @PreAuthorize 使用详解
LoveSummer
01-22 1万+
默认情况下, Spring Security 并不启用方法级的安全管控. 启用方法级的管控后, 可以针对不同的方法通过注解设置不同的访问条件.Spring Security 支持三种方法级注解, 分别是 JSR-205 注解 /@Secured 注解 / prePostEnabled 注解. 这些注解不仅可以直接加 controller 方法上, 也可以注解 Service 或 DAO 类中的方法.
SpringSecurity使用@PreAuthorize、@PostAuthorize实现Web系统权限认证
u011930054的博客
07-17 5216
SpringSecurity可以使用@PreAuthorize和@PostAuthorize进行访问控制，下面进行说明。 项目使用Springboot2.3.3+SpringSecurtiy+Mbatis实现。 首先先引入pom.xml <dependencies> <dependency> <groupId>org.springframework.boot</groupId> <artif
SpringSecurity：@PreAuthorize如何实现自定义权限校验方法
2301_76607156的博客
05-05 1688
在我们一般的web系统中必不可少的就是权限的配置，也有经典的RBAC权限模型，是基于角色的权限控制。这是目前最常被开发者使用也是相对易用、通用权限模型。当然已经实现了权限的校验，但是不够灵活，我们可以自己写一下校验条件，从而更加的灵活！很多开源框架中也是用的比较多，小编看了一下若依是自己写了一个注解实现的，pig是使用来实现自己的校验方式，小编以pig框架的为例。这样就完成了自定义校验，具体的校验可以自己在配置里进行修改，当然也可以自己写一个注解来进行自定义校验，可以参考若依的注解！
SpringSecurity基于注解实现方法级别授权：@PreAuthorize、@PostAuthorize、@Secured
最新发布
pan_junbiao的博客
02-22 1118
方法调用授权的含义很明确，与 HTTP 端点级别的授权机制一样，人们可以用它来确定某个请求是否具有调用方法的权限。这里可以分成两种情况：如果是在方法调用之前进行授权管理，则称为预授权（PreAuthorization）；如果是在方法执行完之后确定是否可以访问方法返回的结构，则称为后授权（PostAuthorization）。在 Spring Security 中，@PreAuthorize 注解是一种用于方法级别授权的强大工具。它允许你在方法执行之前进行权限检查，从而确保只有具备相应权限的用户才能调用该方法
史上最简单的Spring Security教程（十二）：@PreAuthorize注解实现权限控制
银河架构师的博客
07-17 3万+
我们前面讲的所有的例子，都是没有权限控制的，也就是只要登录就可以访问任何资源，不需要其它的权限。但是，现实生活中肯定不是这样。 比如你是普通员工，只能查看自己的工作记录；而部门经理作为领导，则可以查看整个部门员工的工作记录；再如企业老板，作为最大的权限拥有者，可以查看整个公司员工的工作记录。这就是所谓的权限控制，不同角色拥有的不同资源。 而Spring Security框架最大的功用就在于此。当然，实现权限控制体系非常复杂，我们一步一步来，本次先讲一个如何通过注解实现权限控制需求。 Spri...
@PreAuthorize 注解
susu1083018911的博客
11-03 1万+
以前也写过登录，但是没有研究过 spring-security ，在新项目中看到这个注解还是一脸的懵，下面简单的梳理一下此注解（题外话：其实好多都可以通过名字的大概意思猜一猜）： @PreAuthorize 注解方法前拦截判断是否有权限 进入方法前判断el表达式 查找到我们项目中定义了一个接口，接口中定义了常量 常量值的定义，我们可以在SecurityExpressionRoot类中看到 el表达式返回true：通过 false：拒绝访问 对上述el表达式 ...
SpringBoot - @PreAuthorize注解详解
热门推荐
记录并分享
08-21 9万+
@PreAuthorize注解会在方法执行前进行权限验证，支持Spring EL表达式。只有当@EnableGlobalMethodSecurity(prePostEnabled=true)的时候，@PreAuthorize才可以使用。
Spring Security 4 使用@PreAuthorize,@PostAuthorize, @Secured, EL实现方法安全（带源码）
明明如月的技术博客
05-06 5万+
【相关已翻译的本系列其他文章，点击分类里面的spring security 4】 上一篇:Spring Security 4 整合Hibernate 实现持久化登录验证（带源码） 原文地址：http://websystique.com/spring-security/spring-security-4-method-security-using-preauthorize-postaut
Spring Security @PreAuthorize注解
疯一样的码农
11-20 823
是 Spring Security 的一个注解，用于指定在方法调用前应评估的表达式，以确定调用者是否有权执行该方法。本教程介绍了如何使用 Spring 方法级安全和注解来保护 RestController 方法。通过这些步骤，您可以确保只有具有适当角色或权限的用户才能访问特定的 REST API。
@PreAuthorize注解详解
leese233的博客
11-09 939
@PreAuthorize注解详解
Springboot整合SpringSecurity(五)——Spring Security使用@PreAuthorize,@PostAuthorize
lyy的博客
01-12 9786
我要先吐槽一下，关于这方面的知识，网上很多博客都是直接翻译的官方文档，emmmm，里面有很多翻译不准确的地方，以及没有强调的关键地方，（好多博客都代码不全），导致我实现这个功能花了好多时间，不过还是实现了。下面就一如既往的简单粗暴的施展罗列代码大法。 第一步：准备一个实体类 package com.example.learnsecurity.learnsecurity.enti...
spring boot 没有@PreAuthorize注解怎么办
02-21
在Spring Boot中，@PreAuthorize注解是用于在方法执行之前进行权限验证的。如果你不想使用@PreAuthorize注解，你可以通过其他方式来实现权限验证。 一种常见的方式是使用Spring Security框架来进行权限验证。Spring Security提供了一套完整的安全认证和授权机制，可以轻松地集成到Spring Boot应用中。 首先，你需要在pom.xml文件中添加Spring Security的依赖： ```xml <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> ``` 然后，在你的应用主类上添加@EnableWebSecurity注解，启用Spring Security的功能： ```java import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; @EnableWebSecurity public class YourApplication { // ... } ``` 接下来，你可以创建一个继承自WebSecurityConfigurerAdapter的配置类，来配置权限验证规则： ```java import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; @Configuration public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http.authorizeRequests() .antMatchers("/admin/**").hasRole("ADMIN") .antMatchers("/user/**").hasAnyRole("ADMIN", "USER") .anyRequest().authenticated() .and() .formLogin(); } } ``` 上述配置中，我们定义了两个URL模式的权限规则：/admin/**需要具有ADMIN角色才能访问，/user/**需要具有ADMIN或USER角色才能访问。其他URL需要进行身份验证。 当你使用Spring Security进行权限验证时，你可以在方法中使用注解来进行更细粒度的权限控制，例如@Secured、@RolesAllowed等。 除了Spring Security，你还可以使用其他的权限验证框架或自定义实现来替代@PreAuthorize注解。这些方式的具体实现方式会根据你的需求和项目架构而有所不同。
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

西京刀客

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值