Spring Security OAuth2废弃后，XML方法权限hasScope如何升级替代？

核心结论 #

在新版Spring Security OAuth2组件（spring-security-oauth2-jose、spring-security-oauth2-client、spring-security-oauth2-core）中，没有直接提供与旧版#oauth2.hasScope([scope])完全等效的XML配置专用表达式处理器，目前官方推荐的标准替代方式就是使用hasAuthority('SCOPE_[scope]')。

详细说明 #

• 旧版#oauth2.hasScope()的底层逻辑
  旧版OAuth2SecurityExpressionMethods.java中的hasScope方法，本质是将传入的scope转换为带SCOPE_前缀的权限字符串，再检查当前认证主体是否拥有该权限。新版Spring Security OAuth2直接简化了这一层封装，不再提供专门的#oauth2表达式命名空间。

• XML配置中的标准实现方式
  在XML配置里，你可以直接在<security:intercept-url>的access属性中使用hasAuthority表达式，示例如下：

  <security:intercept-url pattern="/api/**" access="hasAuthority('SCOPE_read')"/>
  

  如果需要检查多个scope，可使用hasAnyAuthority：

  <security:intercept-url pattern="/api/write/**" access="hasAnyAuthority('SCOPE_read', 'SCOPE_write')"/>
  

• 自定义表达式的可选方案（非官方推荐）
  如果坚持想要类似旧版的hasScope语法，你可以自定义安全表达式处理器：

  1. 创建自定义表达式根类，添加hasScope方法，内部将传入的scope转换为SCOPE_前缀的权限后执行检查
  2. 在XML配置中注册该自定义表达式处理器，替换默认处理器
     不过这种方式需要额外开发，官方并不推荐，因为hasAuthority('SCOPE_[scope]')已经是标准化的实现方式。

内容的提问来源于stack exchange，提问作者John