Spring AOP切面无法捕获@Service方法的原因及解决方法咨询

可能的原因 #

1. 切点匹配范围限制：你的切面仅匹配标注@Service的类下、带有@PreAuthorize注解的public方法，如果目标@Service方法未添加@PreAuthorize，切面自然无法捕获。
2. 切面优先级低于Spring Security：@PreAuthorize本身由Spring Security的切面处理，若你的切面优先级更低，Security的切面会先执行并抛出AccessDeniedException，此时你的@Around通知无法捕获该异常（异常已被Security切面提前处理）；@AfterThrowing也会因Security的异常拦截逻辑无法触发。
3. 内部方法调用绕过代理：若@Service类内部方法互相调用（非外部通过代理对象调用），Spring AOP的代理机制会失效，切面无法拦截这类调用。
4. 注解类路径错误：若代码中引用的PreAuthorize不是Spring Security的org.springframework.security.access.prepost.PreAuthorize，切点表达式中的@annotation(preAuthorize)会无法匹配目标方法。

修复步骤 #

1. 调整切面优先级，确保先于Spring Security执行 #

在切面类上添加@Order注解，设置更高优先级（Spring Security切面默认优先级为100，设置更小的数值即可）：

@Aspect
@Component
@Order(-100) // 优先级高于Spring Security默认值
public class PostPreAuthorizeServiceAdvice {

    @AfterThrowing(pointcut = "@within(org.springframework.stereotype.Service) && execution(public * *(..)) && @annotation(org.springframework.security.access.prepost.PreAuthorize)", throwing = "ex")
    public void checkPreAuthorizeAfterThrowing(JoinPoint joinPoint, org.springframework.security.access.prepost.PreAuthorize preAuthorize, Throwable ex) throws Throwable {
        throw new EntityNotFoundException();
    }

    @Around("@within(org.springframework.stereotype.Service) && @annotation(org.springframework.security.access.prepost.PreAuthorize)")
    public Object parsePreAuthorize(ProceedingJoinPoint joinPoint, org.springframework.security.access.prepost.PreAuthorize preAuthorize) throws Throwable {
        try {
            return joinPoint.proceed();
        } catch (AccessDeniedException ex) {
            throw new EntityNotFoundException();
        }
    }

}

2. 验证切点匹配范围 #

• 确认目标@Service方法确实添加了@PreAuthorize注解；
• 若需拦截所有@Service类的public方法，可移除切点中的@annotation(preAuthorize)条件，根据业务需求调整匹配规则。

3. 修复内部方法调用绕过代理的问题 #

如果是@Service内部方法调用导致切面失效，可通过AopContext.currentProxy()获取代理对象调用方法：

@Service
public class DemoService {
    public void methodA() {
        // 错误写法：直接调用内部方法，绕过代理
        // methodB();
        
        // 正确写法：通过代理对象调用
        ((DemoService) AopContext.currentProxy()).methodB();
    }

    @PreAuthorize("hasRole('ADMIN')")
    public void methodB() {
        // 业务逻辑
    }
}

同时在启动类上添加@EnableAspectJAutoProxy(exposeProxy = true)，允许暴露代理对象。

4. 确认注解全类名正确 #

确保切点表达式和方法参数中的PreAuthorize是Spring Security的org.springframework.security.access.prepost.PreAuthorize，避免因导入错误注解类导致匹配失败。

内容的提问来源于stack exchange，提问作者Dmitry Adonin