升级Spring Boot 3.2.2后Spring方法安全SpEL注解始终返回401

核心现象分析 #

Spring Boot从3.2.1升级到3.2.2后，传入对象的@PreAuthorize注解（如@PreAuthorize("hasPermission(#organization, 'WRITE')")）返回401，而传入ID的注解正常工作，且Spring Security版本未变更。这说明问题并非出自Spring Security本身，而是Spring Boot升级带来的参数解析或AOP代理逻辑变化。

排查方向与步骤 #

1. 检查编译参数是否保留方法参数名 #

SpEL中#organization依赖编译时保留的参数名称。Spring Boot 3.2.2可能对参数解析逻辑做了 stricter 处理：

• Maven项目：确认maven-compiler-plugin是否配置了<parameters>true</parameters>，确保编译时保留参数名。
• Gradle项目：检查compileJava.options.parameters = true是否启用。
• 临时验证：将方法参数名改为org，注解改为#org，若生效则说明原参数名未被正确解析。

2. 调整Spring AOP代理模式 #

JDK动态代理无法获取接口方法的参数名称（除非编译时显式保留），而CGLIB代理可以。Spring Boot 3.2.2可能调整了默认代理模式：

• 在application.properties中添加spring.aop.proxy-target-class=true，强制使用CGLIB代理，测试注解是否恢复正常。

3. 开启Spring Security调试日志 #

默认日志无排查信息，开启DEBUG级日志查看表达式解析过程：

logging.level.org.springframework.security=DEBUG

重点查看MethodSecurityExpressionRoot相关日志，确认#organization是否被正确解析为目标对象，还是返回null或无法找到参数。

4. 检查Spring Framework版本变更 #

Spring Boot 3.2.1对应Spring Framework 6.1.2，3.2.2对应6.1.3。查看6.1.3的Release Notes，重点关注：

• SpEL表达式解析的变更
• 方法参数解析逻辑的调整
• AOP代理相关的Bug修复或行为变化

5. 验证泛型参数解析 #

失效的save方法使用了泛型<S extends Organization>，Spring 6.1.3可能在泛型参数的解析上存在问题：

• 临时修改方法为Organization save(Organization organization)，去掉泛型，测试注解是否生效。若生效，则说明泛型参数的解析逻辑出现了兼容性问题。

可能的根因 #

最常见的情况是编译时未保留参数名称，加上Spring Boot 3.2.2对参数解析的严格化，导致SpEL无法识别#organization参数；其次是AOP代理模式变更，导致无法获取接口方法的参数对象。

内容的提问来源于stack exchange，提问作者Abu Sulaiman