Spring Boot中能否在Getter方法中使用@PreAuthorize注解？

完全可以在Getter方法上使用@PreAuthorize，但这里有几个关键细节需要你注意，不然可能达不到你想要的权限控制效果：

• 必须通过Spring代理调用方法：你的类已经加了@Component被Spring管理，这没问题，但要注意：如果是在TestObject内部直接调用getSecret()，注解不会生效。Spring Security的AOP代理只会拦截外部对Bean方法的调用，内部调用绕开了代理，权限校验就不会触发。
• 要启用方法级安全配置：别忘记在你的Spring Security配置类上开启方法级权限支持。如果是Spring 6+版本，加@EnableMethodSecurity注解；如果是Spring 5.7及之前的版本，用@EnableGlobalMethodSecurity(prePostEnabled = true)，不然@PreAuthorize注解根本不会被框架识别。
• 场景适用性建议：如果你的目的是控制前端返回字段的可见性，这种在Getter上加注解的方式虽然可行，但有时候不如在DTO转换阶段做权限判断更灵活。比如手动转换或者用MapStruct这类工具，根据当前用户角色决定是否将secret字段加入返回结果，避免直接把业务对象暴露给前端带来的潜在风险。

你的代码示例本身是合法的：

@Component
public class TestObject {
    private String name;
    private String secret;
    
    @PreAuthorize("hasRole('ADMIN')")
    public String getSecret() {
        return secret;
    }
    
    public void setSecret(String secret) {
        this.secret = secret;
    }
    
    public String getName() {
        return name;
    }
    
    public void setName(String name) {
        this.name = name;
    }
}

内容的提问来源于stack exchange，提问作者J. H