Spring Boot 3.0.2中@PreAuthorize带参接口报错及相关异常问题

问题现象 #

• 带参数的REST接口添加@PreAuthorize注解后抛出错误：Name for argument of type [int] not specified, and parameter name information not found in class file either.，移除注解后恢复正常。
• 场景验证结果：
  • 无参数方法添加@PreAuthorize可正常运行
  • 带参数但不添加@PreAuthorize可正常运行
  • 即使给@RequestParam指定name属性、配置javac编译参数-g:vars和-parameters，带参数且加@PreAuthorize的接口仍报错
• 额外异常情况：
  • 使用@EnableGlobalMethodSecurity导致应用启动失败，触发BeanDefinitionOverrideException
  • POST请求添加@PreAuthorize时，@RequestBody接收的对象大部分字段为空，移除注解则能正常接收完整对象
• 调试结论：添加@PreAuthorize会生成$$SpringCGLIB$$代理类，导致MethodParameter无法获取正确参数名；仅当REST服务类包含自定义方法时才会生成该代理类，仅继承父类方法的类无此问题。

解决方案 #

1. 替换废弃的@EnableGlobalMethodSecurity #

Spring Boot 3.x（基于Spring 6.x）中，@EnableGlobalMethodSecurity已被废弃，改用@EnableMethodSecurity开启方法级安全校验，可直接解决启动时的BeanDefinitionOverrideException异常。

2. 确保编译参数正确生效 #

即使配置了-g:vars和-parameters，仍需确保编译参数在构建工具中正确配置：

• Maven：在maven-compiler-plugin中明确配置参数

<plugin>
    <groupId>org.apache.maven.plugins</groupId>
    <artifactId>maven-compiler-plugin</artifactId>
    <version>3.11.0</version>
    <configuration>
        <source>17</source> <!-- 对应Spring Boot 3.x要求的JDK版本 -->
        <target>17</target>
        <parameters>true</parameters>
        <debug>true</debug>
        <debuglevel>vars,lines,source</debuglevel>
    </configuration>
</plugin>

• Gradle：在build.gradle中配置编译参数

tasks.withType(JavaCompile) {
    options.parameters = true
    options.debug = true
    options.debugOptions.debugLevel = "vars,lines,source"
}

配置完成后，重新编译项目，再验证带@PreAuthorize的参数接口。

3. 切换代理方式为JDK动态代理 #

CGLIB代理是导致参数名丢失的核心原因，可强制Spring使用JDK动态代理：

• 在配置文件中添加：

spring.aop.proxy-target-class=false

或者在配置类中自定义代理配置：

@Configuration
@EnableMethodSecurity
public class MethodSecurityConfig {
    @Bean
    public MethodSecurityExpressionHandler methodSecurityExpressionHandler() {
        return new DefaultMethodSecurityExpressionHandler();
    }
}

注意：使用JDK代理要求REST服务类必须实现接口，否则无法生成代理。

4. 修复@RequestBody字段绑定问题 #

POST请求中@RequestBody字段为空，是代理类导致Jackson无法正常序列化/反序列化对象，可通过以下方式解决：

• 确保实体类字段有完整的getter/setter方法，或使用Lombok的@Data注解自动生成
• 结合上述替换@EnableMethodSecurity和切换代理方式的方案，解决代理类引发的字段绑定异常

内容的提问来源于stack exchange，提问作者Burner