基于@PreAuthorize的方法安全问题：403后RequestHeader无法刷新

先明确下你的场景：你用Spring Security的@PreAuthorize注解保护接口，通过自定义的myStringEvaluationService服务类的isStringInList方法做权限校验，只有返回true才允许执行接口逻辑，代码示例如下：

@PreAuthorize("@myStringEvaluationService.isStringInList(#myString)")
@RequestMapping(value = "/myEndPoint", method = POST)
void executeThisMethodIfAuthorised(@RequestHeader(name = "whateverTheStringIs") String myString) {
    //do stuff...
}

现在遇到的核心问题是：权限校验失败返回403后，后续请求的RequestHeader没法正常刷新。结合Spring Security和浏览器的特性，咱们从这几个方向排查解决：

可能的原因分析 #

• 浏览器缓存了403响应的相关头信息，导致后续请求直接复用旧的Header，没有携带更新后的值
• Spring Security默认没有为403响应设置禁止缓存的头，让浏览器有机会缓存错误状态的请求
• 前端在403后重试时，没有重新获取最新的Header值就直接发起请求

具体解决方案 #

1. 给Spring Security配置禁止缓存403响应 #

在你的Spring Security配置类里，自定义403的异常处理器，添加Cache-Control等头强制浏览器不缓存：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // 保留你原有的其他配置
            .exceptionHandling()
                .accessDeniedHandler((request, response, ex) -> {
                    // 设置禁止缓存的响应头
                    response.setHeader("Cache-Control", "no-cache, no-store, must-revalidate");
                    response.setHeader("Pragma", "no-cache");
                    response.setHeader("Expires", "0");
                    // 发送403错误
                    response.sendError(HttpServletResponse.SC_FORBIDDEN, "权限不足");
                });
    }
}

这样浏览器每次收到403后，不会缓存任何相关信息，下次请求会重新携带最新的RequestHeader。

2. 前端层面确保重试时用最新的Header #

如果是前端调用接口，捕获到403错误后，别直接重试，先重新获取whateverTheStringIs的最新值，再发起请求。举个JS的例子：

async function invokeMyEndpoint() {
    try {
        const latestHeaderValue = getUpdatedStringValue(); // 这里要确保拿到最新的Header值
        const response = await fetch('/myEndPoint', {
            method: 'POST',
            headers: {
                'whateverTheStringIs': latestHeaderValue
            }
        });

        if (response.status === 403) {
            // 403后重新获取最新Header再重试
            const freshHeaderValue = getFreshStringValue();
            const retryResponse = await fetch('/myEndPoint', {
                method: 'POST',
                headers: {
                    'whateverTheStringIs': freshHeaderValue
                }
            });
            // 处理重试后的响应
        }
    } catch (err) {
        console.error('请求出错:', err);
    }
}

3. 检查权限校验服务的缓存逻辑 #

确认myStringEvaluationService的isStringInList方法有没有用@Cacheable之类的缓存注解，如果有，可能会缓存旧的校验结果，导致即使Header更新了，服务端还是用旧的缓存判断。这种情况下，要么调整缓存的key（把Header值作为key的一部分），要么在Header更新时主动清除对应的缓存。

总结 #

先从服务端的响应头配置入手，禁止浏览器缓存403响应，再检查前端的请求重试逻辑，最后确认权限校验服务有没有缓存干扰，一步步排查就能解决这个问题。

内容的提问来源于stack exchange，提问作者Space Cadet