Spring Security结合领域逻辑鉴权：管理员绕过购买校验方案咨询

最优方案：基于Spring Security 自定义权限校验Bean #

这是Spring官方原生支持的方案，完全解决你提到的所有问题，不需要硬编码静态上下文调用，也能实现鉴权逻辑和业务逻辑完全解耦。

实现步骤 #

1. 开启方法级安全配置
   在Spring Security配置类上添加注解开启方法级权限校验：

// Spring Security 6+ 版本
@Configuration
@EnableMethodSecurity
class SecurityConfig {
  // 你的其他安全配置
}

// 旧版本Spring Security 5及以下
@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
class SecurityConfig {
  // 你的其他安全配置
}

2. 抽离独立的权限校验服务
   将产品访问的鉴权逻辑完全抽成独立的Spring Bean，可单独测试、单独维护：

@Service("productPermission")
class ProductPermissionService(
    private val productRepository: ProductRepository,
    private val purchaseCheck: PurchaseCheck
) {
    fun canAccessProduct(authentication: Authentication, productId: Int): Boolean {
        // 管理员直接放行
        if (authentication.authorities.any { it.authority == "ROLE_ADMIN" }) {
            return true
        }
        // 从认证信息中取用户ID，可根据你实际JWT存储的字段调整
        val userId = authentication.name
        val product = productRepository.findById(productId) ?: return false
        // 原有购买校验逻辑
        return product.isAccessibleAtNoCharge(userId) || purchaseCheck.hasUserPurchased(userId, product.id)
    }
}

3. 改造业务Service方法
   移除业务方法内的所有鉴权代码，仅保留纯业务逻辑，通过@PreAuthorize注解绑定权限规则：

@Service
class ProductService(
    private val productRepository: ProductRepository
) {
    @PreAuthorize("@productPermission.canAccessProduct(authentication, #id)")
    fun fetchProduct(id: Int): Product {
        return productRepository.findById(id) ?: throw NotFoundException("Product not found")
    }
}

注：SpEL表达式里的#id对应方法的入参id，authentication是Spring Security自动注入的当前用户认证对象。 #

备选方案：注入权限服务直接调用 #

如果你不想用注解式的方法级安全，也可以把上面的ProductPermissionService直接注入到业务Service中调用，相比你原有方案也有明显优化：

@Service
class ProductService(
    private val productRepository: ProductRepository,
    private val productPermissionService: ProductPermissionService
) {
    fun fetchProduct(id: Int): Product {
        val product = productRepository.findById(id)
        if (!productPermissionService.canAccessProduct(SecurityContextHolder.getContext().authentication, id)) {
            throw ForbiddenException("User has no access to this product")
        }
        return product
    }
}

方案优势 #

• 可测试性强：ProductPermissionService是普通Spring Bean，单元测试时可以直接Mock该Bean的canAccessProduct返回值，不需要构造/模拟SecurityContext上下文
• 逻辑完全解耦：鉴权规则统一维护在独立的权限服务中，修改权限逻辑不需要触碰业务代码，业务代码仅保留核心查询逻辑
• 符合Spring生态规范：使用Spring官方提供的方法级安全特性，不需要强行把依赖业务实体的鉴权逻辑放到Controller层实现

内容的提问来源于stack exchange，提问作者hendra