Spring SpEL方法级安全元注解配置失败，求排查问题原因

API 探路者

2026-6-15

问题描述

我从Spring文档中了解到，启用动态方法级元注解需要配置AnnotationTemplateExpressionDefaults类，已完成如下配置：

@Bean
public AnnotationTemplateExpressionDefaults annotationTemplateExpressionDefaults(){
    return new AnnotationTemplateExpressionDefaults();
}

随后我定义了名为HasAnyRole的注解：

@Target({ElementType.METHOD,ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
@PreAuthorize(value = "hasAnyRole({roles})")
public @interface HasAnyRole {

    String[] roles();
}

接着我用该注解标记了一个方法并传入对应角色：

@PostMapping("/create")
@HasAnyRole(roles = {"'MANAGING_DIRECTOR'","'OPERATIONS_MANAGER'","'PROJECT_MANAGER'"})
public ResponseEntity<APIResponse> createProject(@Valid @RequestBody ProjectCreationRequest projectCreationRequest)
        throws ProjectNotCreatedException{
    return projectService.generateProjectCreationRequest(projectCreationRequest);
}

调用该方法时出现错误：

Failed to evaluate expression 'hasAnyRole({roles})'

后续研究发现该方式与@PreAuthorize不兼容，需使用AOP或自定义Bean来解析HasAnyRole注解。我严格遵循文档操作却未达到预期效果，请问问题出在哪里？

问题原因与解决方案

核心问题

Spring Security的@PreAuthorize本身不支持直接通过元注解传递数组参数，你配置的AnnotationTemplateExpressionDefaults仅用于SpEL模板的默认变量解析，无法解决元注解中数组属性的解析问题。当你在@PreAuthorize里写hasAnyRole({roles})时，SpEL无法识别元注解的数组roles，直接导致表达式解析失败。

具体问题点

元注解参数传递逻辑错误：@PreAuthorize的SpEL表达式不能直接引用元注解的数组属性，{roles}这种写法不会被解析为你传入的角色数组。
角色参数冗余引号：hasAnyRole方法默认会为角色添加ROLE_前缀，且不需要手动加单引号，你传入的'MANAGING_DIRECTOR'会导致角色匹配逻辑失效。

解决方案

方法一：自定义SpEL根对象解析元注解

通过自定义方法安全表达式根对象，让SpEL能够识别元注解的属性：

自定义表达式根类：

public class CustomMethodSecurityExpressionRoot extends MethodSecurityExpressionRoot {
    public CustomMethodSecurityExpressionRoot(Authentication authentication) {
        super(authentication);
    }

    public boolean hasAnyRoleFromAnnotation(String[] roles) {
        return hasAnyRole(roles);
    }
}

配置表达式处理器：

@Bean
public MethodSecurityExpressionHandler methodSecurityExpressionHandler() {
    DefaultMethodSecurityExpressionHandler handler = new DefaultMethodSecurityExpressionHandler();
    handler.setExpressionRootFactory(context -> new CustomMethodSecurityExpressionRoot(context.getAuthentication()));
    return handler;
}

修改@HasAnyRole的@PreAuthorize表达式：

@PreAuthorize("hasAnyRoleFromAnnotation(#this.annotation.roles)")
public @interface HasAnyRole {
    String[] roles();
}

调整方法注解参数，去掉多余引号：

@HasAnyRole(roles = {"MANAGING_DIRECTOR","OPERATIONS_MANAGER","PROJECT_MANAGER"})

方法二：使用AOP实现自定义权限校验

通过Spring AOP拦截标记@HasAnyRole的方法，手动完成权限校验：

创建AOP切面类：

@Aspect
@Component
public class RoleAuthorizationAspect {

    @Before("@annotation(hasAnyRole)")
    public void checkRoles(HasAnyRole hasAnyRole) {
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        if (authentication == null || !authentication.isAuthenticated()) {
            throw new AccessDeniedException("未认证");
        }

        String[] requiredRoles = Arrays.stream(hasAnyRole.roles())
                .map(role -> "ROLE_" + role)
                .toArray(String[]::new);

        boolean hasPermission = authentication.getAuthorities().stream()
                .anyMatch(auth -> Arrays.asList(requiredRoles).contains(auth.getAuthority()));

        if (!hasPermission) {
            throw new AccessDeniedException("权限不足");
        }
    }
}

简化@HasAnyRole注解定义：

@Target({ElementType.METHOD,ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
public @interface HasAnyRole {
    String[] roles();
}

方法注解参数去掉多余引号：

@HasAnyRole(roles = {"MANAGING_DIRECTOR","OPERATIONS_MANAGER","PROJECT_MANAGER"})

补充说明

Spring Security文档中提到的AnnotationTemplateExpressionDefaults，核心作用是为SpEL模板提供默认变量解析能力，并非用于元注解的参数传递。元注解结合@PreAuthorize的场景下，必须通过自定义表达式处理器或AOP来实现参数的正确解析。

内容的提问来源于stack exchange，提问作者Omotoso Iyanu

Spring SpEL方法级安全元注解配置失败，求排查问题原因

核心问题 #

具体问题点 #

解决方案 #