Spring Boot自定义@HasRight注解结合@PreAuthorize参数传值为null问题咨询

问题描述 #

我在Spring Boot应用里尝试基于@PreAuthorize实现自定义注解@HasRight("admin")，用来调用服务做权限校验，但遇到了问题：当注解的参数名和被保护方法的参数名不一致时，服务方法接收到的参数值始终为null。

举个例子：被保护的getOptions方法有个@PathVariable的String类型参数foo，我给方法加了@HasRight("admin")注解；自定义注解@HasRight的接口里通过@PreAuthorize("@myService.hasRight(#value)")调用校验服务，但MyService的hasRight方法里的value一直是null。只有把注解参数名改成foo（对应#foo），参数值才能正确传入，但我希望注解的参数名能独立于方法参数名，所以想问：这个需求能用@PreAuthorize实现吗？还是必须改用@Aspect？

解决方案：用SpEL解耦注解参数与方法参数 #

完全不用切换到@Aspect，通过调整SpEL表达式就能实现注解参数和方法参数的解耦，核心是在SpEL里明确区分注解自身的参数和方法参数。

方法1：明确指定注解参数与方法参数 #

1. 定义自定义注解时，用#root.annotation.xxx引用注解的参数，同时指定方法参数：

@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
@PreAuthorize("@myService.hasRight(#root.annotation.requiredRight, #foo)")
public @interface HasRight {
    String requiredRight(); // 注解参数名，和方法参数foo完全独立
}

这里#root.annotation.requiredRight专门用来获取当前注解的requiredRight参数值，#foo则是方法的参数值，两者命名互不影响。

2. 校验服务的hasRight方法对应接收两个参数：

@Service
public class MyService {
    public boolean hasRight(String requiredRight, String methodParam) {
        // 实现权限校验逻辑：比如判断当前用户是否拥有requiredRight权限，同时可利用methodParam做额外校验
        return true;
    }
}

3. 使用注解时，直接传入权限标识即可，不用关心方法参数名：

@GetMapping("/options/{foo}")
@HasRight(requiredRight = "admin")
public String getOptions(@PathVariable String foo) {
    // 业务逻辑
    return "success";
}

方法2：动态获取方法参数（无需指定参数名） #

如果不想硬编码方法参数名，还可以用#root.args获取方法参数数组，根据位置取参，彻底和方法参数名解耦：

@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
@PreAuthorize("@myService.hasRight(#root.annotation.requiredRight, #root.args[0])")
public @interface HasRight {
    String requiredRight();
}

#root.args[0]表示取方法的第一个参数，哪怕后续方法参数名改成bar，也能正确获取参数值。

为什么之前的实现会返回null？ #

你之前写的@PreAuthorize("@myService.hasRight(#value)")里的#value，SpEL会默认去方法参数中查找名为value的参数，而不是注解的参数。所以当方法参数名不是value时，自然会返回null。只有用#root.annotation.xxx才能明确指向注解自身的参数。

什么时候需要改用@Aspect？ #

如果你的权限校验逻辑特别复杂——比如需要拦截类级别、自定义参数解析逻辑，或者要在校验前后做额外操作（比如打日志），那@Aspect会更灵活。但仅针对当前需求，用@PreAuthorize配合SpEL就完全能实现参数名独立的自定义注解。

内容的提问来源于stack exchange，提问作者Chasperlii