Spring Boot 3.4中安全权限校验晚于参数校验的问题

问题根源 #

你遇到的情况是因为Spring MVC的参数校验（Jakarta Validation）发生在控制器方法预处理阶段，而@PreAuthorize的方法级安全校验是通过AOP切面在方法调用时触发的，默认顺序晚于参数校验，导致无权限用户的参数错误请求先触发400，而非期望的403。

两种可行解决方案 #

方案一：调整方法级安全切面的优先级 #

通过修改@EnableMethodSecurity的优先级，让@PreAuthorize的校验逻辑早于参数校验执行：

1. 创建方法安全配置类，指定更高的优先级：

@Configuration
@EnableMethodSecurity(order = Ordered.HIGHEST_PRECEDENCE + 10)
public class MethodSecurityConfig {
}

这里将方法安全拦截器的优先级设为比最高优先级稍低（避免和核心框架组件冲突），确保它在参数校验之前执行。

方案二：将Scope校验移至过滤器链（推荐） #

直接在SecurityFilterChain中配置Scope权限规则，这样校验会在进入控制器之前的过滤器阶段完成，完全跳过后续的参数校验：

修改你的安全配置代码：

@Bean
public SecurityFilterChain oauth2FilterChain(HttpSecurity http) throws Exception {
    http.csrf(AbstractHttpConfigurer::disable)
            .sessionManagement(sm -> sm.sessionCreationPolicy(STATELESS))
            .exceptionHandling(eh -> eh.authenticationEntryPoint(handleException()));

    http.securityMatcher("/api/**")
            .authorizeHttpRequests(auth ->
                    // 直接指定需要SCOPE_MY_SCOPE权限
                    auth.requestMatchers("/api/**").hasAuthority("SCOPE_MY_SCOPE"))
            .oauth2ResourceServer(resourceServer ->
                    resourceServer.jwt(jwt -> jwt.decoder(jwtDecoder())));

    return http.build();
}

这种方式性能更优，因为过滤器层面的校验比方法级AOP更早执行，同时也不需要保留方法上的@PreAuthorize注解（如果全部接口都需要该Scope的话）。

验证效果 #

配置完成后，使用不具备SCOPE_MY_SCOPE的令牌发起参数无效的请求时，服务器会直接返回403，不会暴露参数校验信息；参数有效时仍返回403，符合预期。

内容的提问来源于stack exchange，提问作者Daniel Pop