解决Spring Security ACL @PostFilter的代理类名称不匹配问题

问题背景 #

升级到Spring 6.0.13、Spring Security 6.1.4、Hibernate 6.2.13.Final后，Hibernate ByteBuddy生成的代理类名称与ACL表中存储的原始实体类名不匹配，导致@PostFilter依赖的ACL权限查找失效。当前临时修改ObjectIdentityImpl的方案维护成本高，需寻找更优解。

方案对比与推荐 #

1. 切换至Spring Data #

• 效果：Spring Data Repository默认会处理代理对象解包，返回原始实体，直接解决类名不匹配问题。
• 兼容性：原有基于Spring Security 3的ACL配置无需大幅改动，Spring Security ACL与Spring Data兼容，只需将原有DAO替换为Spring Data Repository即可。
• 优劣：长期来看是最健壮的选择，既解决当前问题，又能借助Spring Data简化数据访问层开发；唯一成本是适配现有DAO代码，属于向现代技术栈迁移的合理投入。

2. 代码层面手动解代理 #

• 实现方式：在所有ACL检查相关的代码点，用Spring的AopUtils.getTargetObject()或Hibernate的Hibernate.unproxy()获取原始实体，再进行ACL操作。示例代码：

  Object rawEntity = AopUtils.getTargetObject(proxiedEntity);
  // 基于rawEntity执行ACL权限校验
  

• 优劣：快速见效，但需要在所有隐式（如@PostFilter）和显式ACL检查点手动处理，容易遗漏，长期维护成本高，仅适合临时救急。

3. Fork Spring Security ACL定制构件 #

• 实现方式：Fork Spring Security ACL模块，修复ObjectIdentityImpl中的代理检测逻辑，打包成自定义构件供项目使用。
• 优劣：从根源解决问题，无需修改业务代码，但需要长期维护Fork分支，每次Spring Security升级都要同步补丁，依赖管理复杂度高，仅适合有专门维护团队的场景。

4. 自定义ObjectIdentityRetrievalStrategy #

• 实现方式：继承DefaultObjectIdentityRetrievalStrategy，重写getObjectIdentity方法自动解代理，然后将该策略配置到AclPermissionEvaluator和AclPermissionCacheOptimizer中。示例：

  public class UnproxiedObjectIdentityStrategy extends DefaultObjectIdentityRetrievalStrategy {
      @Override
      public ObjectIdentity getObjectIdentity(Object domainObject) {
          try {
              Object rawObject = AopUtils.getTargetObject(domainObject);
              return super.getObjectIdentity(rawObject);
          } catch (Exception e) {
              return super.getObjectIdentity(domainObject);
          }
      }
  }
  

• 关键说明：解代理操作不会触发额外数据库请求——Hibernate代理仅在访问非ID属性时才会懒加载，而ACL查找只需要实体ID和类名，解包过程仅获取原始类信息，不会触发查询。
• 优劣：轻量级、集中处理，无需修改业务代码，对现有配置侵入性极低，是短期不想大规模改造时的最优选择。

5. DAO层手动解代理 #

• 实现方式：在DAO的所有查询方法中，返回实体前手动解代理，确保上层拿到原始类对象。
• 优劣：上层无需关注代理问题，但每个DAO方法都要修改，繁琐易漏，维护成本高，不推荐。

最终推荐 #

• 若计划逐步升级技术栈：优先选择切换至Spring Data，长期收益最大。
• 若暂时无法大规模改造：选择自定义ObjectIdentityRetrievalStrategy，维护成本低且能彻底解决问题。

额外建议 #

• 可尝试向Spring Security官方提交修复PR，完善ObjectIdentityImpl的代理检测逻辑，从根源解决问题，避免自己维护补丁。
• 不建议禁用Hibernate ByteBuddy代理（如设置hibernate.bytecode.use_reflection_optimizer=false），会影响性能。

内容的提问来源于stack exchange，提问作者Eero