@preauthorize自定义权限控制

### 使用 `@PreAuthorize` 进行自定义权限控制为了实现更灵活的权限管理，在需要进行权限控制的方法上可以使用 `@PreAuthorize` 注解，并在表达式中调用自定义的权限判断函数[^1]。 #### 定义自定义权限评估器首先，创建一个自定义权限评估器类并将其注册为 Spring Bean： ```java import org.springframework.security.core.Authentication; import org.springframework.stereotype.Component; @Component("customPermissionEvaluator") public class CustomPermissionEvaluator { public boolean hasPermission(Authentication authentication, Object targetDomainObject, String permission) { // 实现具体的权限逻辑判定 // 返回 true 表示授权成功；返回 false 则表示拒绝访问 // 示例：简单地检查用户是否有特定的角色或权限 return authentication != null && authentication.getAuthorities().stream() .anyMatch(grantedAuthority -> grantedAuthority.getAuthority().equals(permission)); } } ``` 该类实现了权限的具体逻辑判定功能。这里只是一个简单的例子，实际应用中可以根据业务需求编写复杂的权限验证逻辑[^5]。 #### 应用到服务层方法接着可以在服务层的方法前加上 `@PreAuthorize` 注解来指定权限规则： ```java import org.springframework.security.access.prepost.PreAuthorize; import org.springframework.stereotype.Service; @Service public class MyService { @PreAuthorize("@customPermissionEvaluator.hasPermission(authentication, null, 'customPermission')") public void customPermissionMethod() { // 只有具有自定义权限的用户才能执行此方法 System.out.println("Custom permission method executed."); } } ``` 这段代码表明只有当用户的认证信息通过了由 `CustomPermissionEvaluator` 类中的 `hasPermission()` 方法所设定的条件时，才可以调用 `customPermissionMethod()` 方法。此外，还可以利用 SpEL（Spring Expression Language）的强大能力进一步增强表达式的灵活性。例如可以直接操作 HTTP 请求参数、会话对象等数据来进行细粒度的权限控制[^2]。

阅读全文