非@Component修饰的普通类中使用@PreAuthorize注解不生效是什么原因

这个现象不符合预期，Spring Security的方法级权限控制基于AOP代理实现，不生效通常是代理逻辑和配置的常见疏漏导致，对应的排查和解决方案如下：

• 检查DaoImpl是否被Spring容器托管
  你需要为DaoImpl添加@Repository/@Component注解，确保它被Spring上下文扫描加载。只有通过Spring容器获取的Bean调用方法，才会触发权限校验的切面逻辑，手动new的实例不会生效。
• 检查注解的位置与代理模式匹配
  Spring AOP默认使用JDK动态代理，仅对接口定义的方法做代理，如果你把@PreAuthorize注解加在DaoImpl的实现方法上、DAO接口的对应方法没有加注解，代理层无法读取到权限注解，就会导致校验不生效。
  两种修复方案：
  1. 把@PreAuthorize注解直接加在DAO接口的对应方法上
  2. 开启CGLIB类代理，在配置文件中添加spring.aop.proxy-target-class=true，代理将基于实现类生成，可以读取到实现类方法上的注解
• 检查是否是类内部自调用
  如果你是在DaoImpl的其他方法中直接调用本类加了@PreAuthorize的方法（也就是通过this调用），会绕过代理对象，不会触发权限校验。这种场景需要你从Spring上下文获取当前类的代理对象，再调用目标方法。
• 检查角色匹配规则是否正确
  hasRole('ADMIN')默认会自动给角色拼接ROLE_前缀，只有当前用户权限包含ROLE_ADMIN时才会校验通过。如果你系统内存储的角色没有ROLE_前缀，可以改用hasAuthority('ADMIN')做校验。
• 检查@EnableGlobalMethodSecurity配置是否生效
  确保加了该注解的配置类被Spring扫描到，是被@Configuration标注的合法配置类。

内容的提问来源于stack exchange，提问作者mosab