Spring中@PreAuthorize注解无法覆盖ResourceServerConfigurerAdaptor配置

嘿，我碰到过类似的问题！你现在的情况是方法级的@PreAuthorize注解被之前URL级的配置给覆盖了，Spring Security的规则优先级在这里起作用了，咱们一步步来搞定它：

1. 先搞懂核心优先级问题 #

首先得明确：你在ResourceServerConfigurerAdapter里配置的URL级权限规则（比如antMatchers("/api/admin/**").hasRole("ADMIN")），优先级是高于方法级注解的。也就是说，请求过来的时候，先匹配URL规则，只要符合/api/admin/**，就会强制要求ADMIN角色，根本轮不到方法上的@PreAuthorize生效。

2. 具体解决步骤 #

第一步：调整URL配置，给特殊路径“让路” #

你需要在URL配置里，把/api/admin/event这个路径从原来的ADMIN拦截规则里排除出去，而且要把这个特殊规则放在前面——因为Spring Security是从上到下匹配，匹配到就停止。示例代码如下：

@Override
public void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
        // 先处理特殊路径，交给方法注解去管控
        .antMatchers("/api/admin/event").permitAll()
        // 剩下的/admin/**路径依然要求ADMIN角色
        .antMatchers("/api/admin/**").hasRole("ADMIN")
        .anyRequest().authenticated();
}

第二步：确认方法级注解已经启用 #

别忘记在你的资源服务器配置类上加上@EnableGlobalMethodSecurity(prePostEnabled = true)，否则@PreAuthorize根本不会被Spring识别并生效。比如：

@Configuration
@EnableResourceServer
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {
    // 你的其他配置代码
}

第三步：正确编写@PreAuthorize规则 #

在Controller的方法上，要同时支持ADMIN角色和oauth2的write权限，用or把两个条件连起来就行。注意hasRole会自动给角色名加上ROLE_前缀，而oauth2的scope要用#oauth2.hasScope()来判断：

@RestController
@RequestMapping("/api/admin/event")
public class AdminEventController {

    @PreAuthorize("hasRole('ADMIN') or #oauth2.hasScope('write')")
    @GetMapping
    public List<Event> listEvents() {
        // 业务逻辑实现
    }

    @PreAuthorize("hasRole('ADMIN') or #oauth2.hasScope('write')")
    @PostMapping
    public Event createEvent(@RequestBody Event event) {
        // 业务逻辑实现
    }
}

3. 额外排查点 #

• 验证Token内容：可以临时写个调试接口，把Authentication对象返回，看看里面的authorities有没有ADMIN角色，以及oauth2的scope是否包含write：

@GetMapping("/auth/debug")
public Authentication debugAuth(Authentication auth) {
    return auth;
}

• 排查配置冲突：如果项目里有多个Security配置类（比如多个WebSecurityConfigurerAdapter），要确保它们的规则不会互相干扰，导致你的配置被覆盖。

这样调整之后，/api/admin/event就会同时接受ADMIN角色用户和拥有write scope的oauth2请求啦！

内容的提问来源于stack exchange，提问作者Munish Chandel