如何让系统调用绕过Spring方法安全校验？

针对Spring Scheduler等系统调用触发权限校验错误的问题，提供以下几种更通用的处理方案：

1. 扩展权限校验逻辑，兼容系统调用 #

直接在permissionEvaluator.canWrite()方法中加入系统调用的判断逻辑，无需修改原有方法的注解：

public boolean canWrite() {
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    
    // 判定是否为系统触发的调用（比如无认证上下文，或特定系统身份）
    if (auth == null || "SYSTEM".equals(auth.getPrincipal())) {
        return true;
    }
    
    // 原有业务权限校验逻辑
    return ...;
}

也可以直接修改@PreAuthorize表达式，增加系统调用的放行条件：

@PreAuthorize("@permissionEvaluator.canWrite() or authentication == null")
public Result createItem(InstallInfo installInfo) {
    ....
}

注意：如果允许authentication == null，要确保只有系统调用会出现这种情况，避免普通匿名用户绕过权限。

2. 开启匿名认证并区分系统调用 #

在Spring Security配置中开启匿名认证，让无上下文的请求自动获得匿名身份，再通过线程标识等方式区分系统调用：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.anonymous(); // 开启匿名认证
}

修改权限表达式，允许特定线程的匿名请求通过：

@PreAuthorize("@permissionEvaluator.canWrite() or (isAnonymous() and T(Thread).currentThread().getName().startsWith('scheduler-'))")
public Result createItem(InstallInfo installInfo) {
    ....
}

3. 自定义系统调用注解+切面 #

创建专门标记系统调用的注解，通过切面自动处理权限上下文：

步骤1：定义系统调用注解 #

@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface SystemCall {}

步骤2：编写切面处理权限上下文 #

@Aspect
@Component
public class SystemCallAspect {
    @Around("@annotation(com.yourpackage.SystemCall)")
    public Object handleSystemCall(ProceedingJoinPoint joinPoint) throws Throwable {
        // 保存原有安全上下文
        SecurityContext originalContext = SecurityContextHolder.getContext();
        try {
            // 设置系统身份认证，避免权限校验报错
            Authentication systemAuth = new UsernamePasswordAuthenticationToken(
                "SYSTEM", null, Collections.singletonList(new SimpleGrantedAuthority("ROLE_SYSTEM"))
            );
            SecurityContextHolder.getContext().setAuthentication(systemAuth);
            
            // 执行目标方法
            return joinPoint.proceed();
        } finally {
            // 恢复原有上下文
            SecurityContextHolder.setContext(originalContext);
        }
    }
}

步骤3：系统调用时标记注解 #

在Scheduler或其他系统调用的方法上添加注解：

@Scheduled(fixedRate = 3600000)
public void scheduledCreateTask() {
    createItem(new InstallInfo());
}

// 给createItem方法添加系统调用注解
@SystemCall
@PreAuthorize("@permissionEvaluator.canWrite()")
public Result createItem(InstallInfo installInfo) {
    ....
}

4. 方法重载拆分职责（推荐） #

通过重载方法明确区分外部用户调用和内部系统调用，职责更清晰：

// 外部用户调用入口，带权限校验
@PreAuthorize("@permissionEvaluator.canWrite()")
public Result createItem(InstallInfo installInfo) {
    return doCreateItem(installInfo);
}

// 内部系统调用入口，无权限校验
public Result doCreateItem(InstallInfo installInfo) {
    // 实际业务逻辑
    ....
}

系统调用时直接调用doCreateItem方法，避免触发权限校验。

内容的提问来源于stack exchange，提问作者SONGYEON WON