Spring Security基于角色授权最佳实践及PreAuthorize方法过滤问题咨询

嘿，这个场景我之前在项目里刚好碰到过，给你几个实用的解决方案，你可以根据自己的项目复杂度选：

这是最容易上手的方式，直接在控制器方法里拿到当前用户，判断权限后动态修改查询参数：

@RestController
@RequestMapping("/projects")
public class ProjectController {

    @Autowired
    private ProjectRepository projectRepository;

    @PreAuthorize("hasAnyRole('ADMIN', 'USER')")
    @GetMapping
    public List<Project> getProjects(@RequestParam(required = false) String query, Principal principal) {
        // 从Principal里取出当前登录用户，这里假设你的用户实体是自定义的User类
        User currentUser = (User) ((Authentication) principal).getPrincipal();
        String userClientId = currentUser.getClientId();

        // 判断用户是否是受限角色（比如普通用户只能看自己的记录）
        boolean isRestricted = !currentUser.getRoles().contains("ADMIN");

        if (isRestricted) {
            // 拼接过滤条件：空查询直接用clientId，非空则追加AND条件
            if (query == null || query.isBlank()) {
                query = "clientId:" + userClientId;
            } else {
                query += " AND clientId:" + userClientId;
            }
        }

        // 执行查询逻辑
        return projectRepository.findByQuery(query);
    }
}

这里要注意：确保你的User类实现了Spring Security的UserDetails接口，或者能被正确从Authentication的Principal转换过来，最好加个instanceof判断避免类型转换异常。

如果不想在控制器里写太多业务逻辑，可以把条件拼接逻辑封装成SpEL工具类，然后在参数上直接调用：

首先定义一个SpEL工具类：

@Component("securityHelper")
public class SecurityHelper {

    public static String addClientIdFilter(String originalQuery) {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        if (auth == null || !(auth.getPrincipal() instanceof User)) {
            return originalQuery;
        }

        User currentUser = (User) auth.getPrincipal();
        // 管理员直接返回原查询
        if (currentUser.getRoles().contains("ADMIN")) {
            return originalQuery;
        }

        String clientId = currentUser.getClientId();
        if (originalQuery == null || originalQuery.isBlank()) {
            return "clientId:" + clientId;
        } else {
            return originalQuery + " AND clientId:" + clientId;
        }
    }
}

然后在控制器方法里使用：

@PreAuthorize("hasAnyRole('ADMIN', 'USER')")
@GetMapping
public List<Project> getProjects(
    @RequestParam(required = false) 
    @Value("#{securityHelper.addClientIdFilter(#query)}") String query
) {
    return projectRepository.findByQuery(query);
}

这样控制器代码会非常干净，而且这个工具类可以在其他需要相同逻辑的接口里复用。

如果你的项目里有很多类似的接口都需要自动添加用户过滤条件，用AOP来统一处理会更高效：

@Aspect
@Component
public class QueryFilterAspect {

    // 拦截所有带@GetMapping的控制器方法，且第一个参数是String类型的query
    @Around("execution(* com.yourpackage.controller.*.*(..)) && args(query,..) && @annotation(org.springframework.web.bind.annotation.GetMapping)")
    public Object appendClientIdFilter(ProceedingJoinPoint joinPoint, String query) throws Throwable {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        if (auth != null && auth.getPrincipal() instanceof User) {
            User currentUser = (User) auth.getPrincipal();
            if (!currentUser.getRoles().contains("ADMIN")) {
                String clientId = currentUser.getClientId();
                if (query == null || query.isBlank()) {
                    query = "clientId:" + clientId;
                } else {
                    query += " AND clientId:" + clientId;
                }
            }
        }
        // 修改参数后继续执行原方法
        Object[] args = joinPoint.getArgs();
        args[0] = query;
        return joinPoint.proceed(args);
    }
}

这样不用修改任何控制器代码，所有符合条件的接口都会自动加上用户过滤条件，非常适合全局统一规则的场景。

额外注意点 #

• 如果你的查询不是字符串格式（比如用JPA Specification或者Querydsl），那拼接逻辑需要调整成对应的API，比如构建Specification对象而不是字符串。
• 权限判断的逻辑可以根据你的实际体系调整，比如用hasRole('ADMIN')的SpEL表达式，或者检查用户的权限标识。

内容的提问来源于stack exchange，提问作者zoro74