能否不通过异常处理，用Spring的hasAuthority判断用户授权？

首先明确：你尝试用@Value直接绑定SpEL表达式hasAuthority('SomeScopeName')的方式不可靠，因为@Value是在Bean初始化阶段解析的，而权限判断依赖当前请求的用户上下文，初始化阶段不存在用户信息，这个值只会被计算一次，无法动态适配每个请求的用户权限。

下面是几种更合理的替代方案：

方案一：直接调用Spring Security API判断权限 #

跳过注解触发异常的逻辑，直接用Spring Security提供的上下文API判断权限：

import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.security.core.authority.SimpleGrantedAuthority;

private boolean hasDisplayAuthorization() {
    return SecurityContextHolder.getContext().getAuthentication()
        .getAuthorities()
        .contains(new SimpleGrantedAuthority("SomeScopeName"));
}

如果权限有统一前缀或格式规则，可以封装工具类统一处理，避免重复代码。

方案二：复用@PreAuthorize的SpEL表达式逻辑 #

利用Spring的表达式解析器，直接解析权限表达式并结合当前安全上下文求值，和@PreAuthorize逻辑完全一致：

import org.springframework.security.access.expression.SecurityExpressionRoot;
import org.springframework.security.access.expression.method.DefaultMethodSecurityExpressionHandler;
import org.springframework.security.core.context.SecurityContextHolder;

private final DefaultMethodSecurityExpressionHandler expressionHandler = new DefaultMethodSecurityExpressionHandler();

private boolean hasDisplayAuthorization() {
    SecurityExpressionRoot root = new SecurityExpressionRoot(SecurityContextHolder.getContext().getAuthentication()) {};
    return expressionHandler.getExpressionParser()
        .parseExpression("hasAuthority('SomeScopeName')")
        .getValue(root, Boolean.class);
}

方案三：封装权限判断组件 #

如果存在大量权限判断逻辑，可单独封装组件统一处理：

import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.stereotype.Component;

@Component
public class AuthorizationChecker {
    public boolean hasAuthority(String authority) {
        return SecurityContextHolder.getContext().getAuthentication()
            .getAuthorities()
            .stream()
            .anyMatch(a -> a.getAuthority().equals(authority));
    }

    // 可扩展hasAnyAuthority等方法
}

注入后直接使用：

private final AuthorizationChecker authorizationChecker;

// 构造注入
public YourService(AuthorizationChecker authorizationChecker) {
    this.authorizationChecker = authorizationChecker;
}

private boolean hasDisplayAuthorization() {
    return authorizationChecker.hasAuthority("SomeScopeName");
}

为什么@Value方案不可行？ #

@Value的表达式解析时机是Bean创建阶段，此时请求尚未进入，SecurityContextHolder中没有当前用户的认证信息，解析出的canDisplay值是固定的（通常为false），无法根据每个请求的用户动态调整，完全不符合需求。

内容的提问来源于stack exchange，提问作者Florian