Spring Boot测试环境下如何禁用@PreAuthorize注解校验？

问题场景 #

我使用Cucumber测试框架为Spring Boot应用编写API功能测试用例，通过以下命令启动test环境应用并执行测试：

mvn spring-boot:start -Dspring-boot.run.profiles=test -Dspring-boot.run.arguments="--spring.config.name=application-test --spring.config.location=./src/test/resources/application-test.yaml" test spring-boot:stop -DskipTests=false

已经通过自定义WebSecurityConfigurerAdapter禁用了HttpSecurity层面的安全校验：

@TestConfiguration
@Order(1)
@Profile("test")
public class TestSecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
                .authorizeRequests()
                .anyRequest()
                .permitAll();
    }

}

但部分标注@PreAuthorize的控制器仍返回权限拒绝错误：

{
    "timestamp": 1689838624242,
    "errorType": "UNKNOWN",
    "errors": [
        "Access is denied"
    ]
}

尝试过以下方法但均无效：

• 在测试中设置@EnableGlobalMethodSecurity(prePostEnabled = true)
• 尝试发送基础认证凭证，但应用实际使用OAuth2认证，测试环境已禁用该认证，此方法无效

可行解决方案 #

方案1：全局关闭方法级安全校验

创建test环境专属的全局方法安全配置，直接关闭prePostEnabled开关，让所有@PreAuthorize注解失效：

@Configuration
@Profile("test")
@EnableGlobalMethodSecurity(prePostEnabled = false)
public class TestMethodSecurityConfig {
}

注意：需确保生产环境的@EnableGlobalMethodSecurity配置标注@Profile("!test")，或给该test配置添加@Order(0)提升优先级，避免被生产配置覆盖。

方案2：自定义空的方法安全元数据源

如果需要保留@EnableGlobalMethodSecurity的其他功能，仅跳过@PreAuthorize校验，可自定义空的元数据源实现：

@TestConfiguration
@Profile("test")
public class TestMethodSecurityConfig extends GlobalMethodSecurityConfiguration {

    @Override
    protected MethodSecurityMetadataSource customMethodSecurityMetadataSource() {
        // 返回null表示无任何方法级安全规则，直接跳过所有校验
        return (method, targetClass) -> null;
    }
}

方案3：为Cucumber测试配置匿名认证

若使用MockMvc执行Cucumber测试，可在测试步骤类中全局配置匿名用户，自动通过方法级权限校验：

@SpringBootTest
@AutoConfigureMockMvc
@ActiveProfiles("test")
public class ApiStepDefinitions {

    @Autowired
    private MockMvc mockMvc;
    @Autowired
    private WebApplicationContext webApplicationContext;

    @Before
    public void setupAnonymousAuth() {
        // 为所有请求默认添加匿名用户认证
        mockMvc = MockMvcBuilders.webAppContextSetup(webApplicationContext)
                .apply(springSecurity())
                .defaultRequest(get("/").with(user("test-anonymous").roles("ANONYMOUS")))
                .build();
    }
}

方案4：替换MethodSecurityInterceptor的决策逻辑

通过BeanPostProcessor替换默认的权限决策逻辑，让所有方法级校验直接通过：

@Component
@Profile("test")
public class TestMethodSecurityProcessor implements BeanPostProcessor {

    @Override
    public Object postProcessAfterInitialization(Object bean, String beanName) throws BeansException {
        if (bean instanceof MethodSecurityInterceptor) {
            MethodSecurityInterceptor interceptor = (MethodSecurityInterceptor) bean;
            // 替换为空的决策管理器，直接跳过权限校验
            interceptor.setAccessDecisionManager((authentication, objects, configAttributes) -> {});
        }
        return bean;
    }
}

额外提示 #

如果项目使用Spring Security 5.7及以上版本，官方推荐使用基于组件的配置替代WebSecurityConfigurerAdapter，test环境的安全配置可修改为：

@Configuration
@Profile("test")
public class TestSecurityConfiguration {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf().disable()
                .authorizeHttpRequests(auth -> auth.anyRequest().permitAll());
        return http.build();
    }
}

内容的提问来源于stack exchange，提问作者Vithursa Mahendrarajah