Spring表达式求值失败：JWT Principal转UserEntity问题求助

根源分析 #

你遇到的报错是因为JWT认证后，Spring Security上下文里的Principal是Jwt类型，而非你的自定义UserEntity，直接在@PreAuthorize中访问authentication.principal.userId会因类型不匹配抛出异常。

方案一：从根源转换Principal为UserEntity（推荐） #

通过自定义JwtAuthenticationConverter，让认证后的Principal自动变为你的UserEntity，原有的@PreAuthorize表达式可以直接使用。

步骤1：确保UserEntity实现UserDetails接口 #

public class UserEntity implements UserDetails {
    private Long userId;
    private String username;
    // 补充其他业务字段

    // 实现UserDetails要求的方法
    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        // 返回用户权限集合，示例：Collections.singletonList(new SimpleGrantedAuthority("ROLE_USER"))
        return Collections.emptyList();
    }

    @Override
    public String getPassword() {
        // JWT认证场景下可返回空字符串或null
        return "";
    }

    @Override
    public boolean isAccountNonExpired() {
        return true;
    }

    @Override
    public boolean isAccountNonLocked() {
        return true;
    }

    @Override
    public boolean isCredentialsNonExpired() {
        return true;
    }

    @Override
    public boolean isEnabled() {
        return true;
    }

    // Getter方法
    public Long getUserId() {
        return userId;
    }
}

步骤2：自定义JwtAuthenticationConverter #

@Component
public class CustomJwtAuthenticationConverter implements Converter<Jwt, AbstractAuthenticationToken> {

    private final UserService userService;

    public CustomJwtAuthenticationConverter(UserService userService) {
        this.userService = userService;
    }

    @Override
    public AbstractAuthenticationToken convert(Jwt jwt) {
        // 从JWT的sub字段获取用户名，若你的JWT用其他字段存用户名，替换成对应的key
        String username = jwt.getClaim("sub");
        
        // 从数据库加载用户信息，处理Optional避免空指针
        UserEntity user = userService.findUserEntityByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("用户不存在：" + username));
        
        // 构建认证Token，将UserEntity作为Principal传入
        return new OAuth2AuthenticationToken(user, user.getAuthorities(), "oauth2");
    }
}

步骤3：在SecurityConfig中配置转换器 #

@EnableMethodSecurity
@Configuration
public class SecurityConfig {

    private final CustomJwtAuthenticationConverter customJwtAuthenticationConverter;

    public SecurityConfig(CustomJwtAuthenticationConverter customJwtAuthenticationConverter) {
        this.customJwtAuthenticationConverter = customJwtAuthenticationConverter;
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
                .oauth2ResourceServer(oauth2 -> oauth2
                        .jwt(jwt -> jwt
                                .jwtAuthenticationConverter(customJwtAuthenticationConverter)
                        )
                );
        return http.build();
    }
}

配置完成后，authentication.principal就会是UserEntity实例，原有的@PreAuthorize("authentication.principal.userId == #userId")可以正常生效。

方案二：修复工具类的SpEL调用（临时方案） #

你之前的工具类调用失败，是因为SpEL表达式中引用Spring Bean必须加@前缀，同时要传入正确的Principal对象。修改@PreAuthorize注解如下：

@PreAuthorize("@userJwtUtil.findUserIdFromJwtPrincipal(authentication.principal) == #userId")
public ResponseEntity<UserEntityResponseDto> findUserById(@PathVariable("userId") Long userId) {
    // 方法实现
}

注意：

• 用@userJwtUtil标识这是Spring管理的Bean
• 传入参数为authentication.principal（认证上下文里的JWT实例，而非方法参数）

但此方案只是临时绕过问题，推荐用方案一从根源上统一Principal类型。

额外注意事项 #

• 确保JWT令牌中确实包含sub字段，若你的JWT用其他字段存储用户名，需调整jwt.getClaim()的参数
• 处理Optional<UserEntity>时，避免直接调用get()，改用orElseThrow()抛出明确的异常

内容的提问来源于stack exchange，提问作者Joel Wilson