关于仅登录用户可访问的控制器方法及参数传递的技术咨询

我来帮你梳理下这块的实现思路和最佳实践，结合你现有的代码一步步拆解：

一、控制器层面：先把接口锁给登录用户 #

首先得确保只有登录后的用户才能调用消息删除这类敏感接口，用Spring Security的注解就能快速实现：

@DeleteMapping("/messages/{id}")
@PreAuthorize("isAuthenticated()") // 关键：只允许已登录用户访问
public ResponseEntity<Void> deleteMessage(@PathVariable Long id) {
    this.messagePersistenceService.deleteMessageSent(id, this.authorizationService.getUserId());
    return ResponseEntity.noContent().build();
}

@PreAuthorize("isAuthenticated()")会自动拦截未登录请求，直接返回401（未授权）状态码，不用自己写一堆判断逻辑。如果没用Spring Security，也可以自定义拦截器/过滤器，在请求到达控制器前检查用户登录状态。

二、更优雅的登录用户ID获取方式 #

你现在用authorizationService.getUserId()拿用户ID是可行的，但Spring提供了更简洁的参数注入方式——@AuthenticationPrincipal注解：

@DeleteMapping("/messages/{id}")
@PreAuthorize("isAuthenticated()")
// 直接注入当前登录用户的自定义用户类（需实现Spring的UserDetails）
public ResponseEntity<Void> deleteMessage(@PathVariable Long id, @AuthenticationPrincipal CustomUser customUser) {
    Long userId = customUser.getId();
    this.messagePersistenceService.deleteMessageSent(id, userId);
    return ResponseEntity.noContent().build();
}

这样不用手动调用service，Spring会自动把当前登录用户的信息塞到参数里，代码更清爽，也符合Spring的依赖注入思想。

三、业务层必须加的关键校验：用户只能删自己的消息 #

这一步绝对不能省！你现在只是把用户ID传给删除方法，但一定要在业务层校验这条消息是不是当前用户发的——不然恶意用户可能通过篡改请求里的id参数删掉别人的消息。比如在messagePersistenceService.deleteMessageSent里：

public void deleteMessageSent(Long messageId, Long userId) {
    // 1. 先找到对应的消息
    Message message = messageRepository.findById(messageId)
            .orElseThrow(() -> new RuntimeException("找不到ID为" + messageId + "的消息"));
    // 2. 校验消息归属：只有发送者本人才能删
    if (!message.getSenderId().equals(userId)) {
        throw new RuntimeException("你无权删除这条消息");
    }
    // 3. 确认没问题再执行删除
    messageRepository.delete(message);
}

这种业务层的校验属于安全兜底，哪怕控制器的登录校验漏了，也能保证数据不被非法操作。

四、参数配置的小Tips #

• 控制器尽量只做“转发”：接收请求、调用业务层、返回响应，不要把权限校验、业务逻辑堆在控制器里。
• 优先用Spring提供的注解（比如@AuthenticationPrincipal）替代手动获取用户信息，减少重复代码。
• 敏感操作（删、改）一定要加数据归属校验，这是保证数据安全的核心。

内容的提问来源于stack exchange，提问作者JONKI