Spring中@PreAuthorize使用#this调用子类方法报错排查

核心原因 #

当@PreAuthorize注解放在抽象类的方法上时，SpEL表达式中的#this并不会指向子类实例，而是指向Spring Security表达式上下文或抽象类的代理对象，导致无法调用子类实现的getApiCode()方法。IDE提示无法解析则是因为静态代码分析无法识别抽象方法的子类实现逻辑。

可行解决方案 #

方案1：将注解移至子类重写的方法中

直接在子类的方法上添加权限校验注解，此时#this会正确指向子类实例，同时消除IDE警告：

// 抽象控制器
public abstract class ApiRestController {
    public abstract String getApiCode();

    // 抽象类仅定义业务逻辑，不添加权限注解
    public ResponseEntity<?> getTeams() {
        // 业务逻辑实现
    }
}

// 子类控制器
@RestController
public class APICustomRestController extends ApiRestController {
    @Override
    public String getApiCode() {
        return "TEAMS_API";
    }

    @Override
    @PreAuthorize("@aclService.checkAcl(#authentication, #this.getApiCode())")
    public ResponseEntity<?> getTeams() {
        return super.getTeams();
    }
}

方案2：通过方法参数传递ApiCode

如果不想在子类重复编写注解逻辑，可以在抽象类方法中新增参数接收ApiCode，由子类调用时传入：

// 抽象控制器
public abstract class ApiRestController {
    public abstract String getApiCode();

    @PreAuthorize("@aclService.checkAcl(#authentication, #apiCode)")
    public ResponseEntity<?> getTeams(String apiCode) {
        // 业务逻辑实现
    }
}

// 子类控制器
@RestController
public class APICustomRestController extends ApiRestController {
    @Override
    public String getApiCode() {
        return "TEAMS_API";
    }

    @GetMapping("/teams")
    public ResponseEntity<?> getTeams() {
        return super.getTeams(getApiCode());
    }
}

方案3：替换#this为#root.target

尝试用#root.target替代#this，它可以直接指向实际的控制器实例（需确保getApiCode()为public方法且未被final修饰，避免CGLIB代理拦截）：

// 抽象控制器方法上的注解修改为
@PreAuthorize("@aclService.checkAcl(#authentication, #root.target.getApiCode())")

总结 #

优先推荐方案1，它既解决了运行时表达式解析异常，也能消除IDE的静态分析警告，逻辑清晰且符合Spring Security的注解使用规范。

内容的提问来源于stack exchange，提问作者iank