能否用Spring Security自动配置默认全方法安全并通过方法安全放行部分方法？

问题分析 #

你遇到的核心问题是：默认的SecurityFilterChain会在方法安全注解生效前拦截未认证请求，直接重定向到登录页，导致@PreAuthorize("isAnonymous()")注解无法发挥作用。要实现仅通过方法安全控制权限，需要调整过滤器链配置，将权限校验完全交给方法注解处理。

解决方案步骤 #

1. 启用方法安全并配置默认权限规则

添加@EnableMethodSecurity注解，通过defaultMethodSecurity设置所有未标注权限注解的方法默认需要认证：

@Configuration
@EnableMethodSecurity(
    defaultMethodSecurity = @MethodSecurityDefaults(
        prePostEnabled = true,
        defaultAuthorization = "authenticated()"
    )
)
public class SecurityConfig {
    // 过滤器链配置见下一步
}

• prePostEnabled = true：开启@PreAuthorize/@PostAuthorize注解支持
• defaultAuthorization = "authenticated()"：所有无权限注解的方法默认要求已认证用户访问

2. 调整SecurityFilterChain，放行所有请求到方法安全校验

修改过滤器链配置，让所有请求通过过滤器层，不再在这一步做权限拦截：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        // Rest接口场景建议关闭CSRF
        .csrf(csrf -> csrf.disable())
        // 过滤器层面允许所有请求通过，权限校验交由方法注解处理
        .authorizeHttpRequests(auth -> auth.anyRequest().permitAll());
    return http.build();
}

3. 控制器代码调整

无需给受保护方法加额外注解，仅给需要匿名访问的方法标注@PreAuthorize("isAnonymous()")：

@RestController
public class TestController {
    // 默认受保护，仅已认证用户可访问
    @GetMapping("/secured")
    public String securedMethod() {
        return "已认证用户可见内容";
    }

    // 允许匿名访问的公开接口
    @GetMapping("/public")
    @PreAuthorize("isAnonymous()")
    public Account publicMethod() {
        return new Account("Name", "Owner");
    }
}

// 对应的Account实体类
class Account {
    private String name;
    private String role;

    public Account(String name, String role) {
        this.name = name;
        this.role = role;
    }

    // 按需添加getter、setter或toString方法
}

关键说明 #

• 过滤器链仅负责请求的基础处理（如CSRF、会话管理），权限校验完全由方法安全注解接管，避免了过滤器层拦截导致注解失效的问题。
• 若使用Spring Boot 2.x，需替换为@EnableGlobalMethodSecurity(prePostEnabled = true)，并通过自定义MethodSecurityMetadataSource实现默认权限规则（逻辑与Spring Boot 3+一致，仅注解不同）。

内容的提问来源于stack exchange，提问作者scorpion