Spring Webflux+Spring Security：Kotlin服务层@PreAuthorize失效求助

1. 确认服务实例注入正确性 #

控制器中注入的userService类型为UserServiceImpl，但带有@PreAuthorize注解的权限校验逻辑在UserGetServiceDelegate的getUser方法上。如果控制器实际调用的是UserServiceImpl的方法而非UserGetServiceDelegate的，注解自然不会生效。

解决方式：
将控制器中的注入类型改为接口UserGetService，让Spring自动注入代理后的服务实例：

@RestController
internal class UserController(
    private val userService: UserGetService, // 改为接口类型
) {
    // ... 原有代码不变
}

2. 移除方法的final修饰符 #

你的服务方法是final override suspend fun getUser，Kotlin中final方法无法被AOP代理增强，导致权限校验逻辑无法植入。虽然Spring Boot Kotlin插件会自动打开被@Service标注的类，但方法的final修饰符仍会阻止代理。

解决方式：
去掉方法上的final关键字：

@PreAuthorize("denyAll()")
override suspend fun getUser(uid: ObjectId): UserDTO {
    // ... 原有代码不变
}

3. 确保协程方法的权限检查支持 #

Spring Security对协程（suspend方法）的方法安全支持需要特定版本，建议使用Spring Security 5.4及以上版本，该版本完善了Reactive与协程场景下的权限校验逻辑。

4. 调整@EnableReactiveMethodSecurity配置 #

显式开启类代理模式，避免接口代理可能存在的限制：

@Configuration
@EnableWebFluxSecurity
@EnableReactiveMethodSecurity(proxyTargetClass = true) // 添加proxyTargetClass=true
internal class WebAuthorizationConfig {
    // ... 原有代码不变
}

5. 验证SecurityContext协程传播 #

使用withContext(Dispatchers.IO)切换线程时，需要确保SecurityContext能正确传播到协程上下文。可以通过以下方式确认：

• 确保依赖了kotlinx-coroutines-reactor库（Spring Boot通常会自动引入）
• 在协程内部打印SecurityContextHolder.getContext()，确认认证信息是否存在

6. 检查代理是否生效 #

通过调试或日志确认调用的服务实例是代理类而非原始类。例如，在服务方法开头添加日志：

@PreAuthorize("denyAll()")
override suspend fun getUser(uid: ObjectId): UserDTO {
    println("当前实例类型: ${this::class.java.name}") // 输出应为代理类名称，包含$Proxy字样
    // ... 原有代码不变
}

如果输出是原始类名称（如UserGetServiceDelegate），说明代理未创建，需检查Spring组件扫描是否覆盖该类、注解是否正确。

内容的提问来源于stack exchange，提问作者Sachin