Spring Cloud项目@PreAuthorize注解失效，求恢复或替代授权方案

恢复@PreAuthorize功能的步骤 #

1. 启用方法级安全（适配新版本Spring Security） #

Spring Boot 2.7+ 已弃用WebSecurityConfigurerAdapter，推荐用@EnableMethodSecurity替代原有的@EnableGlobalMethodSecurity，它是方法级安全的新注解，更适配当前配置模式。

在你的Security配置类上添加该注解并开启prePost支持：

@Configuration
@EnableMethodSecurity(prePostEnabled = true) // 核心配置：开启Pre/Post注解支持
public class SecurityConfig {
    // 其他配置逻辑
}

注：若需兼容旧代码，@EnableGlobalMethodSecurity(prePostEnabled = true)仍可使用，但优先推荐@EnableMethodSecurity。

2. 替换WebSecurityConfigurerAdapter为SecurityFilterChain #

原继承WebSecurityConfigurerAdapter的配置方式已被弃用，改用@Bean声明SecurityFilterChain配置HTTP安全规则，确保Spring Security核心配置生效：

@Configuration
@EnableMethodSecurity(prePostEnabled = true)
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated() // 基础认证规则，按需调整
            )
            // 按需添加登录、JWT、CSRF等配置，示例禁用CSRF（根据实际场景调整）
            .csrf(csrf -> csrf.disable());
        
        return http.build();
    }

    // 按需注册AuthenticationManager、UserDetailsService等Bean
}

3. 确保权限校验Bean可被Spring扫描 #

你的@PreAuthorize("@el.check('student:del')")中用到的el Bean必须存在于Spring容器：

• 给el对应的类添加@Component/@Service注解
• 确保提取后的Security模块包被主应用的组件扫描覆盖（可通过@ComponentScan(basePackages = "xxx.security")指定扫描路径）

4. 校验依赖版本兼容性 #

确保Spring Security版本与你的Spring Boot/Spring Cloud版本匹配：

• Spring Cloud 2022.0.x（Kilburn）→ Spring Boot 3.x → Spring Security 6.x
• Spring Cloud 2021.0.x（Jupiter）→ Spring Boot 2.7.x → Spring Security 5.7+

其他授权实现方式 #

方式1：自定义AOP切面实现权限校验 #

如果不想依赖Spring Security的方法级注解，可以通过AOP自行实现权限控制：

步骤1：定义自定义权限注解

@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface RequirePermission {
    String value(); // 权限标识，比如"student:del"
}

步骤2：编写权限校验切面

@Component
@Aspect
public class PermissionCheckAspect {

    @Autowired
    private YourPermissionChecker permissionChecker; // 自定义的权限校验类

    @Before("@annotation(requirePermission)")
    public void validatePermission(JoinPoint joinPoint, RequirePermission requirePermission) {
        String permission = requirePermission.value();
        if (!permissionChecker.check(permission)) {
            throw new AccessDeniedException("无操作权限");
        }
    }
}

步骤3：在业务方法上使用

@RequirePermission("student:del")
public ResponseEntity<Object> delete(@RequestBody Set<Long> schoolId) {
    return studentService.delete(schoolId);
}

方式2：使用Spring Security内置表达式 #

直接用Spring Security内置的权限表达式替代自定义Bean调用，前提是用户的Authentication对象中已包含对应权限：

@PreAuthorize("hasAuthority('student:del')")
public ResponseEntity<Object> delete(@RequestBody Set<Long> schoolId) {
    return studentService.delete(schoolId);
}

内容的提问来源于stack exchange，提问作者fsjyz