如何在SpEL方法级安全表达式中获取数据库对象所有者ID？

我懂你的困扰——方法参数只有对象ID，但权限判断需要用到该对象的所有者ID，现有的参数没法直接满足需求对吧？这里有两种实用的解决方案，帮你搞定这个问题：

方案1：在SpEL表达式中直接调用Service获取所有者ID #

你可以直接在@PreAuthorize的SpEL里调用业务Service查询对象，进而拿到所有者ID。记得用安全导航操作符（?.）避免空指针异常（比如对象不存在的情况）：

@RequestMapping(value = "/{id}", method = RequestMethod.DELETE)
@ResponseStatus(HttpStatus.NO_CONTENT)
// 直接在SpEL中调用service获取对象的所有者ID
@PreAuthorize("@securityService.isAllowedAccessByCurrentUser(@service.findOne(#id)?.user?.id)")
public void delete(@PathVariable("id") final Long id) {
    service.delete(id);
}

这里@service是Spring容器中你的业务Service Bean的实际名称（如果Bean名称不是service，要改成对应的名字），?.会在中间任何一步为null时直接返回null，避免抛出NullPointerException。

方案2：将逻辑封装到SecurityService中（更推荐） #

把“通过对象ID获取所有者ID并判断权限”的逻辑封装到securityService里，这样SpEL表达式更简洁，也符合单一职责原则，后续维护起来更方便：

首先在SecurityService中新增方法：

@Service
public class SecurityService {
    @Autowired
    private YourBusinessService service;

    // 原有权限判断方法
    public boolean isAllowedAccessByCurrentUser(Long userId) {
        // 你的权限判断逻辑
    }

    // 新增方法：通过对象ID直接判断权限
    public boolean isAllowedAccessByObjectId(Long objectId) {
        YourObject obj = service.findOne(objectId);
        // 空判断，避免后续空指针
        if (obj == null || obj.getUser() == null) {
            return false; // 对象不存在或无所有者时直接拒绝访问
        }
        return isAllowedAccessByCurrentUser(obj.getUser().getId());
    }
}

然后修改控制器的注解：

@RequestMapping(value = "/{id}", method = RequestMethod.DELETE)
@ResponseStatus(HttpStatus.NO_CONTENT)
// 直接调用封装好的方法
@PreAuthorize("@securityService.isAllowedAccessByObjectId(#id)")
public void delete(@PathVariable("id") final Long id) {
    service.delete(id);
}

额外注意事项 #

• 确保YourBusinessService和SecurityService都是Spring管理的Bean，SpEL才能通过@beanName的方式正确引用它们。
• 如果查询对象的操作比较频繁，可以考虑添加缓存（比如用@Cacheable），避免重复查询数据库影响性能。
• 一定要处理对象为null的情况，防止权限判断时出现意外的空指针异常。

内容的提问来源于stack exchange，提问作者yasgur99