如何在Controller的@Valid参数校验前检查安全访问权限

Spring MVC默认请求处理流程中，@Valid触发的参数校验属于请求参数绑定阶段逻辑，执行时机早于@PreAuthorize注解对应的AOP权限校验切面，这是顺序问题的根本原因。相关实现方案并不唯一，目前行业内通用的优雅实现有三类，可根据业务场景选择：

1. 调整切面优先级（通用首选方案） #

核心逻辑是调高Spring Security方法安全切面的优先级，使其早于参数校验切面执行，是改造量最小的全局通用方案：

• Spring Boot 2.5版本使用@EnableGlobalMethodSecurity(prePostEnabled = true)开启方法级权限控制
• 新增方法安全配置类，自定义切面优先级：

@Configuration
public class SecurityAopOrderConfig extends GlobalMethodSecurityConfiguration {
    @Override
    public int getOrder() {
        // 优先级数值越小优先级越高，设置为高于Validation切面的默认优先级
        return Ordered.HIGHEST_PRECEDENCE + 1;
    }
}

• 适用场景：全项目大多数有权限控制的接口都需要先校验权限再校验参数的场景，也是主流的通用实现方案。

2. 过滤器/拦截器层做路径权限校验 #

核心逻辑是将路径级的角色校验放到Servlet过滤器或者Spring MVC拦截器中执行，两类组件的执行时机均早于参数绑定阶段：

• 通用路径的角色校验可直接配置在Spring Security的SecurityFilterChain规则中，本身执行时机就早于Controller方法所有逻辑
• 自定义路径的特殊校验可实现HandlerInterceptor，在preHandle方法中完成权限判断
• 适用场景：权限规则与路由路径强绑定，不需要依赖方法参数（如资源ID、请求体字段）做权限判断的场景。

3. 手动触发参数校验 #

核心逻辑是移除方法参数上的@Valid注解，在权限校验通过后手动调用校验器完成参数验证：

@Autowired
private Validator validator;

@PreAuthorize("hasRole('ADMIN') or @resourceService.checkOwner(authentication, #resourceId)")
@PutMapping("/resource/{resourceId}")
public ResponseEntity updateResource(@PathVariable Long resourceId, @RequestBody ResourceDTO req) {
    // 权限校验通过后手动执行参数校验
    Set<ConstraintViolation<ResourceDTO>> validErrors = validator.validate(req);
    if (!validErrors.isEmpty()) {
        throw new MethodArgumentNotValidException(null, new BeanPropertyBindingResult(req, "req"));
    }
    // 业务逻辑执行
}

• 适用场景：仅少数接口需要权限先于参数校验，不需要调整全局配置的场景。

选型建议 #

如果你的权限校验逻辑需要用到请求参数（比如判断当前用户是否为请求对应资源的所有者），优先选择调整切面优先级的方案，其他场景可根据适配成本灵活选择，三类方案均符合Spring生态的设计规范，不存在唯一的标准实现。

内容的提问来源于stack exchange，提问作者Jedupont