Spring Boot如何通过@PreAuthorize实现任意有效角色访问接口？

有两种常用方式可以实现你要的效果，不用每次新增角色都修改注解配置：

方法一：自定义SpEL工具方法（推荐，可读性高） #

先写一个Spring组件类，封装判断逻辑：

import org.springframework.security.core.Authentication;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.stereotype.Component;

@Component("securityUtils")
public class SecurityUtils {

    public boolean hasAnyValidRole() {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        
        // 先判断用户是否已认证
        if (auth == null || !auth.isAuthenticated()) {
            return false;
        }
        
        // 过滤掉匿名角色（如果你的系统配置了匿名用户角色），判断是否有其他有效角色
        return auth.getAuthorities().stream()
                .map(GrantedAuthority::getAuthority)
                .anyMatch(authStr -> !authStr.equals("ROLE_ANONYMOUS") && authStr.startsWith("ROLE_"));
        
        // 如果你的系统里角色没有ROLE_前缀，或者只要有任何权限就代表有角色，直接改成：
        // return !auth.getAuthorities().isEmpty() && !auth.getAuthorities().contains("ROLE_ANONYMOUS");
    }
}

然后在接口注解里直接调用这个方法：

@PreAuthorize("@securityUtils.hasAnyValidRole()")

这种方式的好处是逻辑集中，后续如果角色规则变了，只需要修改工具类的方法即可，不用改所有接口的注解。

方法二：直接用SpEL表达式（无需新增类） #

如果不想写额外的工具类，可以直接在注解里写SpEL表达式，判断用户已认证且拥有至少一个非匿名角色：

@PreAuthorize("authentication.isAuthenticated() and !authentication.authorities.empty and !authentication.authorities.contains('ROLE_ANONYMOUS')")

注意：如果你的系统没有配置匿名用户角色（即未登录用户直接返回401），可以简化成：

@PreAuthorize("!authentication.authorities.empty")

不过这种写法可读性不如自定义方法，适合简单场景。

内容的提问来源于stack exchange，提问作者mahfuj asif