如何使用@PreAuthorize验证用户是否属于指定Task所属的Project？

你的数据结构中Task未直接关联Project，要完成用户权限验证，需先通过taskId找到对应的Project，再检查当前用户是否属于该项目。具体实现步骤如下：

1. 实现权限验证服务 #

先编写一个Spring管理的服务类，提供核心的权限校验逻辑：

@Service
public class ProjectAuthService {
    private final ProjectRepository projectRepository;

    public ProjectAuthService(ProjectRepository projectRepository) {
        this.projectRepository = projectRepository;
    }

    // 根据taskId查找对应的Project
    public Optional<Project> getProjectByTaskId(String taskId) {
        // 注：当前结构需遍历所有Project匹配taskId，生产环境建议优化存储（比如给Task加projectId字段）
        return projectRepository.findAll().stream()
                .filter(project -> project.getTaskIds().contains(taskId))
                .findFirst();
    }

    // 验证用户是否属于任务所属的项目
    public boolean isUserInTaskProject(String userId, String taskId) {
        return getProjectByTaskId(taskId)
                .map(project -> project.getUserIds().contains(userId))
                .orElse(false);
    }
}

2. 在接口中使用@PreAuthorize校验权限 #

修改你的接口方法，在@PreAuthorize表达式里调用上述服务的校验方法，传入当前认证用户ID和接口参数taskId：

@RestController
public class TaskController {
    private final ProjectAuthService projectAuthService;
    private final TaskRepository taskRepository;

    public TaskController(ProjectAuthService projectAuthService, TaskRepository taskRepository) {
        this.projectAuthService = projectAuthService;
        this.taskRepository = taskRepository;
    }

    @PreAuthorize("@projectAuthService.isUserInTaskProject(authentication.principal.userId, #taskId)")
    @GetMapping("/task/{taskId}")
    public Task getTask(@PathVariable String taskId) {
        return taskRepository.findById(taskId)
                .orElseThrow(() -> new RuntimeException("Task not found"));
    }
}

关键注意点 #

• 性能优化：当前数据结构下通过taskId找Project需遍历全量数据，生产环境建议给Task添加projectId字段，直接通过该字段关联查询，避免低效遍历：

  data class Task(
    val taskId: String,
    val projectId: String // 添加该字段优化关联
  )
  

• 表达式语法：@projectAuthService是Spring Security调用Spring Bean的语法，需确保ProjectAuthService被Spring容器正确管理。
• 权限拦截逻辑：若任务不存在或用户不在对应项目中，isUserInTaskProject会返回false，Spring Security会自动拦截请求并返回403权限不足。

内容的提问来源于stack exchange，提问作者Patrick