如何基于路径变量与请求参数值实现Spring Security动态权限控制？

咱们在做接口权限控制时，经常会碰到这种需求：比如要限制POST /users/{id}接口的访问权限，只允许用户ID和路径里的{id}完全匹配的请求才能通过。这时候权限规则就不是静态写死的了，得根据请求里的路径变量（或者请求参数）的实际值来动态判断。

要是你技术栈选的是Spring + JWT，那可以试试下面这种实现方式：

在你的@RestController类里，给对应的接口方法加上注解配置：

// 这是@RestController类内部的接口方法
@PutMapping("/{id}")
@PreAuthorize("@userPermissionChecker.hasPermission(authentication, #id)")
public ResponseEntity<?> updateUser(@PathVariable String id, @RequestBody UserUpdateDTO dto) {
    // 这里写你的接口业务逻辑
    return ResponseEntity.ok("用户信息更新成功");
}

这里的核心是@PreAuthorize注解里的表达式，它会调用我们自定义的权限校验Bean（比如userPermissionChecker）的hasPermission方法，把当前用户的认证信息authentication和路径变量#id传进去。在这个自定义校验方法里，你可以从authentication里解析出当前登录用户的真实ID，再和传入的路径id做对比，以此判断是否允许该用户访问这个接口。

当然，如果你要基于请求参数做动态校验也一样，只要在@PreAuthorize的表达式里把请求参数的值（比如#status这类参数名）传给校验方法就行，核心的判断逻辑和路径变量的校验思路完全一致。

内容来源于stack exchange