迁移至Spring Data Rest时特定场景如何禁用@PreAuthorize权限校验

以下三个方案均为Spring Security/Spring Data生态原生支持的实现，无安全隐患：

方案1：扩展@PreAuthorize表达式增加信任场景判断（适用于不想拆分Repository的场景） #

你可以自定义一个Spring托管的工具Bean，封装内部信任场景的判断逻辑，直接在@PreAuthorize注解的表达式中调用该Bean的方法完成豁免校验：

1. 定义工具Bean

@Component("securityAuthHelper")
public class SecurityAuthHelper {
    // 标记应用是否已完成启动，启动完成前的操作属于初始化信任场景
    private boolean appInitialized = false;

    @EventListener(ApplicationReadyEvent.class)
    public void markAppInitialized() {
        this.appInitialized = true;
    }

    public boolean isTrustedInternalCall() {
        // 未启动完成的初始化操作，或调用方来自认证服务的包路径，都判定为信任场景
        if (!appInitialized) return true;
        return StackWalker.getInstance(StackWalker.Option.RETAIN_CLASS_REFERENCE).walk(stackFrameStream ->
                stackFrameStream.anyMatch(frame -> frame.getDeclaringClass().getPackageName().startsWith("com.xxx.xxx.auth"))
        );
    }
}

2. 修改Repository的权限注解，增加豁免逻辑

// 原有权限校验保留，信任场景直接放行
@PreAuthorize("hasAuthority('USER_ACCESS') or @securityAuthHelper.isTrustedInternalCall()")
public interface UserRepository extends JpaRepository<User, Long> {}

方案2：拆分Repository实现内外访问隔离（最推荐，无逻辑耦合） #

利用Spring Data Rest只会扫描注册带有@RepositoryRestResource注解的Repository的特性，将Repository拆分为两层：

• 不带权限注解的内部Repository：只供应用内部业务代码调用，无权限校验
• 带权限注解的对外Repository：继承内部Repository，加权限控制，专门暴露给Spring Data Rest的REST端点
  示例代码：

// 内部调用专用，不加权限注解，也不暴露REST端点
@Repository
@RepositoryRestResource(exported = false)
public interface InternalUserRepository extends JpaRepository<User, Long> {}

// 对外REST专用，加权限控制，暴露REST端点
@Repository
@PreAuthorize("hasAuthority('USER_ACCESS')")
@RepositoryRestResource(path = "users")
public interface UserRepository extends InternalUserRepository {}

你在认证逻辑、初始化逻辑中直接注入InternalUserRepository调用即可，完全不会触发权限校验，外部REST访问UserRepository的端点时仍会走正常权限控制。

方案3：方法级权限注解覆盖类级配置（适用于仅少数方法需要豁免的场景） #

Spring Security的方法权限注解遵循方法级优先于类级的规则，你可以在需要豁免的特定方法上单独加@PreAuthorize("permitAll()")覆盖类上的全局校验：

@Repository
@PreAuthorize("hasAuthority('PERMISSION_ACCESS')")
public interface PermissionRepository extends JpaRepository<Permission, Long> {
    // 初始化时调用的save方法单独放行
    @Override
    @PreAuthorize("permitAll()")
    <S extends Permission> S save(S entity);
}

内容的提问来源于stack exchange，提问作者Krisztian