Spring Security自定义AuthorizationManager仅控制器生效，服务层不生效求助

你遇到的核心问题是自定义AuthorizationManager仅在控制器层生效，服务层只有默认的SecuredAuthorizationManager触发，原因大概率是自定义的Advisor没有被应用到服务层Bean上，或者Spring Security的方法安全配置没有正确覆盖默认逻辑。

方案1：替换默认的SecuredAuthorizationManager（推荐） #

与其新增一个拦截器，直接替换Spring Security默认的SecuredAuthorizationManager，这样所有标注@Secured的方法（包括控制器和服务层）都会使用你的自定义逻辑：

@Configuration
@EnableMethodSecurity(securedEnabled = true) // 启用Secured注解支持
public class SecurityConfig {

    @Bean
    public AuthorizationManager<MethodInvocation> securedAuthorizationManager() {
        return new CustomAuthorizationManager();
    }
}

这样配置后，Spring Security的默认Secured拦截器会自动使用你自定义的AuthorizationManager，无需手动创建Advisor，避免了AOP代理范围的问题。

方案2：确保自定义Advisor应用到所有@Secured方法 #

如果你必须保留手动创建Advisor的方式，需要解决以下几点：

1. 启用方法安全并确认代理范围
   在配置类上添加@EnableMethodSecurity(securedEnabled = true)，同时确保Spring AOP代理覆盖服务层Bean：

   @Configuration
   @EnableMethodSecurity(securedEnabled = true)
   @EnableAspectJAutoProxy(proxyTargetClass = true) // 强制使用CGLIB类代理，覆盖所有Bean
   public class SecurityConfig {
       // 你的自定义Advisor Bean
       @Bean
       public Advisor customAuthorize(CustomAuthorizationManager authorizationManager) {
           Pointcut pattern = new AnnotationMatchingPointcut(null, Secured.class, true);
           AuthorizationManagerBeforeMethodInterceptor interceptor = new AuthorizationManagerBeforeMethodInterceptor(pattern, authorizationManager);
           interceptor.setOrder(AuthorizationInterceptorsOrder.SECURED.getOrder() - 1);
           return interceptor;
       }
   }
   

2. 检查服务层Bean的代理状态

   • 确保服务层类使用@Service或@Component注解，被Spring容器管理。
   • 避免服务层内部方法调用（即同一个Bean内的方法调用），这种情况AOP代理不会生效。如果必须内部调用，使用AopContext.currentProxy()获取代理对象后调用目标方法：

     @Service
     public class MyService {
         public void outerMethod() {
             // 正确方式：通过代理调用
             ((MyService) AopContext.currentProxy()).innerMethod();
         }
     
         @Secured("ROLE_ADMIN")
         public void innerMethod() {
             // ...
         }
     }
     

   • 注意：使用AopContext需要在@EnableAspectJAutoProxy中添加exposeProxy = true：

     @EnableAspectJAutoProxy(proxyTargetClass = true, exposeProxy = true)
     

3. 验证Advisor的Pointcut匹配
   确认自定义的AnnotationMatchingPointcut能正确匹配服务层的@Secured注解。比如，服务层的@Secured是否标注在public方法上（Spring AOP默认只代理public方法）。

Spring Security的方法安全默认通过@EnableMethodSecurity注册拦截器，这些拦截器会自动应用到所有Spring管理的Bean上。如果你手动创建Advisor，需要确保它被Spring AOP的代理机制扫描到，并且代理范围覆盖服务层Bean。直接替换默认的AuthorizationManager是更简洁的方式，因为它复用了Spring Security的现有拦截器机制，无需处理AOP代理的范围问题。

内容的提问来源于stack exchange，提问作者RMY