GraphQL+Spring Security：@PreAuthorize在Controller层权限验证失效问题

一、Controller层@PreAuthorize失效的核心原因 #

GraphQL的请求处理逻辑和普通REST接口完全不同：Spring MVC的GraphQL Controller仅负责接收HTTP请求并转发给GraphQL引擎，实际的字段/方法权限校验根本不会走到Controller层的注解逻辑。即使你在Controller加了@PreAuthorize，也只能拦截初始的HTTP请求，而GraphQL内部解析字段、调用业务方法时，Security上下文并没有被正确传递到执行流程中，导致@WithMockUser模拟的用户权限无法生效，始终返回访问拒绝。

二、Service层移注解后出现匿名用户的原因 #

1. GraphQL与Spring Security上下文未绑定
   GraphQL引擎执行查询时，会创建独立的执行上下文，如果没有主动把Spring Security的Authentication对象传入GraphQLContext，Service层调用时SecurityContextHolder里拿到的就是匿名用户。这是最常见的问题——你只是把注解移了位置，但没解决上下文传递的核心问题。

2. 测试配置不规范

• 测试类未正确加载Spring Security配置：比如用了@GraphQlTest但没引入Security自动配置，或者没加@WithMockUser的生效范围覆盖不到GraphQL执行流程。
• 错误使用@MockBean模拟UserDetailsService：如果你的测试用@MockBean替换了默认的用户认证服务，又没正确模拟返回带有权限的UserDetails，会导致认证逻辑直接跳过，所有请求都变成匿名。

3. Service层未被Spring代理
   如果你的Service类是final类、没加@Service注解，或者Spring代理模式配置错误，@PreAuthorize注解会被直接忽略——Spring需要通过动态代理（CGLIB/JDK）来增强方法，触发权限校验逻辑，没代理的话注解等于摆设，同时也无法正确获取Security上下文里的用户信息。

三、针对性解决办法 #

1. 绑定GraphQL与Spring Security上下文 #

如果是Spring Boot 3+，直接引入spring-boot-starter-graphql-security依赖，它会自动把Authentication注入GraphQL执行上下文。
如果是低版本，手动配置上下文传递：

@Bean
public GraphQlSourceBuilderCustomizer securityContextCustomizer() {
    return builder -> builder.configureRuntimeWiring(wiring ->
        wiring.dataFetcherPostProcessor(fetcher -> environment -> {
            // 将当前Security上下文的Authentication存入GraphQLContext
            Authentication auth = SecurityContextHolder.getContext().getAuthentication();
            environment.getGraphQlContext().put("auth", auth);
            return fetcher.get(environment);
        })
    );
}

2. 正确使用权限注解的位置 #

• 不要在Controller层加@PreAuthorize，而是直接在DataFetcher方法或Service层方法上添加注解（前提是上下文已绑定）。
• 若要做全局请求拦截，自定义GraphQlInterceptor来校验所有请求的权限：

@Component
public class SecurityGraphQlInterceptor implements GraphQlInterceptor {
    @Override
    public Mono<GraphQlResponse> intercept(GraphQlRequest request, Chain chain) {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        // 全局权限校验逻辑
        if (!auth.isAuthenticated()) {
            return Mono.error(new AccessDeniedException("未授权"));
        }
        return chain.next(request);
    }
}

3. 规范测试配置 #

• 测试类使用@SpringBootTest + @AutoConfigureMockMvc，或者@GraphQlTest配合@Import(SecurityConfig.class)确保Security配置生效。
• 用@WithMockUser时明确指定角色/权限，比如@WithMockUser(username = "admin", roles = {"ADMIN"})，不要省略权限参数。
• 避免随便用@MockBean替换UserDetailsService，除非你需要完全自定义认证逻辑，否则用@WithMockUser模拟已认证用户更可靠。

4. 确保Service层被代理 #

• Service类必须加@Service或@Component注解，让Spring管理。
• 不要用final修饰Service类（CGLIB代理需要子类化），如果必须用final，改用JDK动态代理（确保Service实现了接口）。

内容的提问来源于stack exchange，提问作者loredon