Spring控制器方法中，如何判断@PreAuthorize通过的具体角色？

这个场景我之前开发时也碰到过，其实Spring Security已经提供了很便捷的方式来获取当前用户的权限信息，下面给你两种实用的实现方案：

方案一：通过SecurityContextHolder直接获取认证信息 #

这是最基础的方式，直接从安全上下文里拿到当前用户的Authentication对象，然后解析它的权限集合：

@RestController
public class MyController {

    // 允许ROLE_ADMIN或ROLE_USER访问
    @PreAuthorize("hasAnyRole('ROLE_ADMIN', 'ROLE_USER')")
    @GetMapping("/method1")
    public ResponseEntity<String> method1() {
        // 获取当前认证的用户信息
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        
        // 检查当前用户是否拥有管理员角色
        boolean isAdmin = authentication.getAuthorities().stream()
                .anyMatch(authority -> authority.getAuthority().equals("ROLE_ADMIN"));
        
        if (isAdmin) {
            // 执行管理员专属业务流程
            return ResponseEntity.ok("执行管理员逻辑：查看全部数据");
        } else {
            // 执行普通用户业务流程
            return ResponseEntity.ok("执行普通用户逻辑：查看个人数据");
        }
    }
}

方案二：使用@AuthenticationPrincipal简化代码 #

如果你觉得直接操作SecurityContextHolder有点繁琐，可以用@AuthenticationPrincipal注解直接注入UserDetails对象，代码会更简洁：

@RestController
public class MyController {

    @PreAuthorize("hasAnyRole('ROLE_ADMIN', 'ROLE_USER')")
    @GetMapping("/method1")
    public ResponseEntity<String> method1(@AuthenticationPrincipal UserDetails userDetails) {
        // 从UserDetails中获取权限并判断
        boolean isAdmin = userDetails.getAuthorities().stream()
                .anyMatch(auth -> auth.getAuthority().equals("ROLE_ADMIN"));
        
        if (isAdmin) {
            return ResponseEntity.ok("管理员流程执行完毕");
        } else {
            return ResponseEntity.ok("普通用户流程执行完毕");
        }
    }
}

如果你的项目里用了自定义User类（实现了UserDetails接口），还可以直接注入这个自定义类，方便获取更多用户自定义字段：

// 假设你的自定义用户类是CustomUser
@PreAuthorize("hasAnyRole('ROLE_ADMIN', 'ROLE_USER')")
@GetMapping("/method1")
public ResponseEntity<String> method1(@AuthenticationPrincipal CustomUser customUser) {
    // 直接从自定义用户对象中获取角色信息
    String userRole = customUser.getRole(); // 假设你的CustomUser有getRole()方法
    if ("ADMIN".equals(userRole)) {
        // 管理员逻辑
    } else {
        // 普通用户逻辑
    }
    // ...
}

关键注意事项 #

• 角色前缀一致性：Spring Security默认会给角色加上ROLE_前缀，所以如果你的UserDetails返回的权限是ADMIN，那@PreAuthorize里要改成hasAnyAuthority('ADMIN', 'USER')，同时判断时也要用ADMIN而不是ROLE_ADMIN。如果想去掉前缀，可以在配置类里自定义DefaultWebSecurityExpressionHandler来取消前缀。
• 封装工具类：如果多个方法都需要判断角色，可以把角色判断逻辑封装成静态工具类，比如：

public class SecurityUtils {
    public static boolean hasRole(String role) {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        return auth.getAuthorities().stream()
                .anyMatch(a -> a.getAuthority().equals("ROLE_" + role));
    }
}

之后在方法里直接用if(SecurityUtils.hasRole("ADMIN"))即可，代码更整洁。

内容的提问来源于stack exchange，提问作者aniruddha