Spring Security 6.x中PermissionEvaluator替代方案及自定义实现失效问题

Spring Security 6.x 废弃了GlobalMethodSecurityConfiguration的自定义方式，改用@EnableMethodSecurity配合Bean注册来实现自定义权限评估逻辑，具体配置如下：

1. 启用方法安全并配置自定义PermissionEvaluator #

@Configuration
@EnableMethodSecurity
public class MethodSecurityConfig {

    @Autowired
    private CustomPermissionEvaluator customPermissionEvaluator;

    @Bean
    public MethodSecurityExpressionHandler methodSecurityExpressionHandler() {
        // 如果使用自定义的表达式处理器，替换为你的CustomMethodSecurityExpressionHandler即可
        DefaultMethodSecurityExpressionHandler expressionHandler = new DefaultMethodSecurityExpressionHandler();
        expressionHandler.setPermissionEvaluator(customPermissionEvaluator);
        return expressionHandler;
    }
}

2. 关键变化说明 #

• 原GlobalMethodSecurityConfiguration已被标记为废弃，官方推荐使用@EnableMethodSecurity（Spring Security 5.6+引入，6.x成为标准配置方式）启用方法安全。
• 不再通过继承配置类重写方法的方式自定义逻辑，而是直接注册MethodSecurityExpressionHandler类型的Bean，Spring Security会自动识别并使用该处理器。

关于版本迭代兼容性的建议 #

Spring Security大版本迭代的API变更确实会增加升级成本，但多数变更为架构优化和安全增强所需：

• 升级前优先查看对应版本的迁移指南，重点关注废弃API的替代方案。
• 尽量采用基于Bean的声明式配置，减少对框架内部继承类的依赖，降低耦合度。
• 保持自定义组件（比如CustomPermissionEvaluator）的逻辑独立性，避免直接依赖框架内部非公开API。

内容的提问来源于stack exchange，提问作者bytor99999