为何PreAuthorizeAuthorizationManager未读取Security Context中的Authentication对象？

不需要自定义AuthorizationManager，原生的PreAuthorizeAuthorizationManager完全可以正常工作，你的问题大概率出在过滤器配置、SecurityContext处理或方法级安全的启用细节上，以下是具体排查和修复步骤：

1. 确认自定义JWT过滤器的执行顺序 #

自定义JWT过滤器必须放在Spring Security核心认证过滤器（如UsernamePasswordAuthenticationFilter）之前，确保请求进入控制器前先完成JWT解析和Authentication设置。正确的注册方式示例：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .csrf(csrf -> csrf.disable())
        .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
        .addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
    return http.build();
}

2. 验证SecurityContext的设置逻辑 #

在JWT过滤器中，确保正确使用线程本地上下文存储Authentication，不要手动创建新上下文，直接复用当前上下文：

// 正确的设置方式
Authentication authentication = buildAuthenticationFromJwt(token);
SecurityContextHolder.getContext().setAuthentication(authentication);

// 错误示例：不要这么做
// SecurityContext context = SecurityContextHolder.createEmptyContext();
// context.setAuthentication(authentication);
// SecurityContextHolder.setContext(context);

如果是异步请求场景，需额外配置上下文传递策略，但同步请求下上述代码足够。

3. 检查Authentication的权限格式 #

确保Authentication对象中的权限与@PreAuthorize注解的表达式匹配：

• 若使用@PreAuthorize("hasAuthority('ADMIN')")，权限需是new SimpleGrantedAuthority("ADMIN")（大小写完全一致）
• 若使用@PreAuthorize("hasRole('ADMIN')")，权限需是new SimpleGrantedAuthority("ROLE_ADMIN")（hasRole会自动添加ROLE_前缀）

4. 确认方法级安全已启用 #

在你的Security配置类上添加@EnableMethodSecurity注解（Spring Security 6+替代旧版@EnableGlobalMethodSecurity），这是触发@PreAuthorize验证的核心开关：

@Configuration
@EnableMethodSecurity
public class SecurityConfig {
    // 其他配置代码
}

5. 调试验证SecurityContext状态 #

在受保护的控制器方法中添加调试代码，确认Authentication是否正确存入上下文：

@GetMapping("/admin/test")
@PreAuthorize("hasAuthority('ADMIN')")
public String adminTest() {
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    System.out.println("当前用户: " + auth.getName());
    System.out.println("用户权限: " + auth.getAuthorities());
    return "Admin access granted";
}

如果这里能打印出正确的用户和权限，但@PreAuthorize仍拒绝请求，需检查注解表达式是否写错（比如混用hasRole和hasAuthority）。

6. 处理无效JWT的边界情况 #

在过滤器中捕获JWT解析异常时，务必清空SecurityContext，避免残留无效认证信息影响后续请求：

try {
    String token = extractTokenFromRequest(request);
    Authentication authentication = buildAuthenticationFromJwt(token);
    SecurityContextHolder.getContext().setAuthentication(authentication);
} catch (JwtException e) {
    SecurityContextHolder.clearContext();
    throw new AuthenticationCredentialsNotFoundException("无效的JWT令牌", e);
}

只要以上配置细节全部正确，原生的PreAuthorizeAuthorizationManager会自动读取SecurityContext中的Authentication完成权限验证，无需自定义实现。

内容的提问来源于stack exchange，提问作者Pradheep Ponnuswamy