基于Java8的Spring MVC4 REST应用如何添加自定义安全注解

针对你的技术栈（Java 8、Spring MVC 4、Spring Boot、Gradle），我来一步步教你实现基于自定义方法注解的安全控制：

1. 创建自定义安全注解 #

首先定义一个专属注解，用来标记需要做安全校验的控制器方法：

package myapp.security;

import java.lang.annotation.*;

@Target(ElementType.METHOD) // 指定注解仅作用于方法
@Retention(RetentionPolicy.RUNTIME) // 运行时保留注解，方便AOP拦截处理
@Documented
public @interface RequirePermission {
    // 可自定义参数，比如传入需要的权限码，让校验逻辑更灵活
    String value() default "";
}

2. 实现注解的切面校验逻辑 #

用Spring AOP来拦截带有@RequirePermission注解的方法，在方法执行前完成安全校验：

package myapp.security;

import org.aspectj.lang.ProceedingJoinPoint;
import org.aspectj.lang.annotation.Around;
import org.aspectj.lang.annotation.Aspect;
import org.aspectj.lang.annotation.Pointcut;
import org.springframework.stereotype.Component;

@Aspect
@Component
public class PermissionAspect {

    // 定义切点：拦截所有标记了RequirePermission注解的方法
    @Pointcut("@annotation(myapp.security.RequirePermission)")
    public void permissionPointcut() {}

    // 环绕通知，处理核心安全校验逻辑
    @Around("permissionPointcut() && @annotation(requirePermission)")
    public Object checkPermission(ProceedingJoinPoint joinPoint, RequirePermission requirePermission) throws Throwable {
        // 1. 获取注解中配置的权限要求
        String requiredPerm = requirePermission.value();
        
        // 2. 执行实际权限校验逻辑（这里是示例，你可以替换成项目真实逻辑）
        boolean hasPermission = checkCurrentUserPermission(requiredPerm);
        
        // 3. 校验不通过则抛出异常，后续可通过全局异常处理器返回403响应
        if (!hasPermission) {
            throw new SecurityException("抱歉，你没有访问该资源的权限");
        }
        
        // 4. 校验通过，执行原控制器方法
        return joinPoint.proceed();
    }

    // 模拟权限检查方法，实际项目中可替换为从登录上下文、数据库或权限服务获取校验结果
    private boolean checkCurrentUserPermission(String requiredPerm) {
        // 示例逻辑：可根据实际业务调整
        return "admin_access".equals(requiredPerm);
    }
}

3. 开启Spring AOP支持 #

在你的Spring Boot主类上添加@EnableAspectJAutoProxy注解，开启AOP功能：

package myapp;

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.context.annotation.EnableAspectJAutoProxy;

@SpringBootApplication
@EnableAspectJAutoProxy
public class MyAppApplication {
    public static void main(String[] args) {
        SpringApplication.run(MyAppApplication.class, args);
    }
}

4. 在控制器方法上使用自定义注解 #

修改你的HomeController，在需要安全控制的方法上添加@RequirePermission注解：

package myapp;

import myapp.security.RequirePermission;
import org.springframework.web.bind.annotation.RestController;
import org.springframework.web.bind.annotation.RequestMapping;

@RestController
@RequestMapping("/")
public class HomeController {

    @RequestMapping("/")
    public String index() {
        return "Welcome to home page";
    }

    // 对/admin路径的方法添加权限校验，要求拥有admin_access权限
    @RequestMapping("/admin")
    @RequirePermission("admin_access")
    public String adminPage() {
        return "Welcome to admin page";
    }
}

5. 配置Gradle依赖 #

确保你的build.gradle中包含Spring AOP的依赖（Spring Boot Starter已经集成，但可以明确声明）：

dependencies {
    implementation 'org.springframework.boot:spring-boot-starter-web'
    implementation 'org.springframework.boot:spring-boot-starter-aop'
    // 其他项目依赖...
}

额外优化建议 #

• 可以自定义全局异常处理器，捕获SecurityException后返回标准化的JSON错误响应（比如HTTP 403状态码）。
• 如果需要更复杂的权限体系，可以结合Spring Security一起使用，把自定义注解和Spring Security的权限控制逻辑整合。

内容的提问来源于stack exchange，提问作者Dan