@PreAuthorize 注解自定义异常

### 使用 `@PreAuthorize` 注解时自定义异常处理 在使用 `@PreAuthorize` 进行权限控制的过程中，默认情况下如果权限校验失败会抛出 `AccessDeniedException` 或者 `InsufficientAuthenticationException`。为了实现更友好的用户体验，可以对这些默认行为进行定制化。 #### 定制全局异常处理器 创建一个控制器建议类来捕获并处理特定的安全异常： ```java @ControllerAdvice public class GlobalExceptionHandler { @ExceptionHandler(AccessDeniedException.class) public ResponseEntity<String> handleAccessDeniedException(AccessDeniedException ex) { return new ResponseEntity<>("您没有足够的权限执行此操作", HttpStatus.FORBIDDEN); } @ExceptionHandler(InsufficientAuthenticationException.class) public ResponseEntity<String> handleInsufficientAuthenticationException( InsufficientAuthenticationException ex) { return new ResponseEntity<>("认证不足，请先登录", HttpStatus.UNAUTHORIZED); } } ``` 上述代码片段展示了如何捕捉来自安全框架的不同类型的异常，并返回适当的消息给客户端[^1]。 #### 修改现有的方法级安全性配置 确保应用程序上下文中启用了预授权支持以及表达式语言解析器的支持。这通常是在启动类上完成的： ```java @SpringBootApplication @EnableWebSecurity @EnableGlobalMethodSecurity(prePostEnabled = true) public class Application { public static void main(String[] args) { SpringApplication.run(Application.class, args); } } ``` 这段设置允许开发者利用像 `@PreAuthorize` 和其他类似的注解来进行细粒度的方法级别保护。 #### 实现自定义逻辑判断 对于更加复杂的场景，比如基于业务规则决定是否授予访问权，则可以在服务层编写相应的检查函数，并将其注册到 SpEL 表达式的环境中供 `@PreAuthorize` 调用： ```java @Component("el") public class ExpressionUtils { private final UserService userService; @Autowired public ExpressionUtils(UserService userService){ this.userService=userService; } public boolean check(String role){ Authentication authentication= SecurityContextHolder.getContext().getAuthentication(); String currentUserName=((UserDetails)authentication.getPrincipal()).getUsername(); Optional<UserEntity> userOpt=this.userService.findByUsername(currentUserName); if(!userOpt.isPresent()){ throw new UsernameNotFoundException("找不到用户名"); } UserEntity currentUser=userOpt.get(); // 假设这里有一个方法用于验证用户是否有指定的角色 return currentUser.hasRole(role); } } ``` 在这个例子中，每当遇到带有 `@PreAuthorize("@el.check('roleName')")` 的地方都会调用上面定义的服务端点去评估当前用户的资格[^2]。