Spring Security @PreAuthorize获取激活环境遇EL1043E异常，求非自定义解法

嘿，这个问题我之前踩过坑！其实完全不用写自定义表达式处理器，问题出在你对@PreAuthorize里的SpEL写法理解错了～

首先解释你遇到的EL1043E错误原因：你大概率是在@PreAuthorize里错误地用了#{...}包裹表达式（比如写了@PreAuthorize("#{environment.activeProfiles[0] == 'dev'}")）。但@PreAuthorize本身就运行在SpEL上下文里，不需要额外加#{}，这个大括号会让EL解析器误以为是语法错误，所以才抛出“Unexpected token”的异常。

接下来，直接用Spring Security内置的SpEL能力就能访问当前环境配置文件，具体有几种实用写法：

1. 检查单个激活的Profile #

如果你的应用通常只激活单个Profile，可以直接通过@environment引用Spring容器中的Environment bean，调用它的方法即可：

@PreAuthorize("@environment.getActiveProfiles()[0] == 'dev'")
public void yourProtectedMethod() {
    // 你的方法逻辑
}

不过要注意：如果没有激活任何Profile，getActiveProfiles()会返回空数组，直接取索引0会报错。更安全的方式是用matchesProfiles方法（替代已过时的acceptsProfiles）：

@PreAuthorize("@environment.matchesProfiles('dev')")
public void yourProtectedMethod() {
    // 你的方法逻辑
}

2. 检查多个Profile的情况 #

如果需要判断是否激活了多个Profile中的任意一个，或者全部激活，可以这样写：

• 判断是否激活了dev或test中的任意一个：

@PreAuthorize("@environment.matchesProfiles({'dev', 'test'})")

• 判断是否同时激活了dev和test（这种场景比较少见，因为Profile通常互斥，但语法是支持的）：

@PreAuthorize("@environment.matchesProfiles(Profiles.of('dev', 'test'))")

原理说明 #

Spring Security的方法级安全表达式（比如@PreAuthorize）的SpEL上下文默认允许通过@beanName的方式直接访问Spring容器中的所有bean，而Environment是Spring上下文默认创建的核心bean，所以我们不需要做任何额外配置，直接引用就能用，完全不需要自定义表达式处理器。

内容的提问来源于stack exchange，提问作者tlavarea