Spring Boot中如何校验请求用户角色并调用对应方法

你已经在全局Spring Security配置中通过hasAnyRole("group 1", "group 2")做了入口鉴权，所有能进入getRoleDetails()方法的请求必然属于两个LDAP组之一，不需要重复做合法性校验，直接从Spring Security上下文读取当前用户角色做分支判断即可，具体实现如下：

核心实现逻辑 #

• 直接通过SecurityContextHolder获取当前请求的认证信息，不需要额外从请求头、Session中手动解析角色，和全局鉴权读取的数据源完全一致，不会出现权限判断不一致的问题。
• 注意默认坑点：Spring Security默认会给角色名拼接ROLE_前缀，全局配置里写的hasAnyRole("group 1", "group 2")，框架实际匹配的是ROLE_group 1、ROLE_group 2两个权限值，自己写判断的时候要对应上；如果你手动修改过defaultRolePrefix配置为空，就去掉前缀直接匹配组名。

改造后代码 #

import org.springframework.security.core.Authentication;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.stereotype.Component;

// 必须加@Component把类交给Spring容器管理，才能正常关联请求上下文
@Component
public class HelperClass implements HelperInterface{

    private void getRoleDetails() {
        // 读取当前请求的认证信息，做简单兜底判断
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        if (auth == null || !auth.isAuthenticated()) {
            throw new IllegalStateException("当前请求未完成认证，无法获取角色信息");
        }

        // 匹配用户所属LDAP组
        boolean belongToGroup1 = auth.getAuthorities().stream()
                .map(GrantedAuthority::getAuthority)
                .anyMatch(role -> "ROLE_group 1".equals(role));
        boolean belongToGroup2 = auth.getAuthorities().stream()
                .map(GrantedAuthority::getAuthority)
                .anyMatch(role -> "ROLE_group 2".equals(role));

        // 根据所属组调用对应方法
        if (belongToGroup1) {
            processGroup1Biz();
        }
        if (belongToGroup2) {
            processGroup2Biz();
        }
        
        // 如果业务要求用户只能归属单个组，把上面两个if改成if-else结构，额外加同时匹配两个组的异常校验即可
    }

    private void processGroup1Biz() {
        // 写group 1对应的业务逻辑
    }

    private void processGroup2Biz() {
        // 写group 2对应的业务逻辑
    }
}

注意事项 #

• 不要在getRoleDetails方法里手动传HttpServletRequest再解析角色，SecurityContextHolder是线程绑定的，同步web请求里可以直接拿到当前请求的认证信息，写法更简洁也更统一。
• 如果这个方法是在异步子线程里调用的，需要提前把Security上下文透传到子线程，否则会拿不到认证信息，普通同步接口调用不需要额外处理。
• 如果后续LDAP组有新增，直接在分支判断里加对应匹配逻辑即可，不用修改全局鉴权之外的底层逻辑。

内容的提问来源于stack exchange，提问作者Vinutha