如何通过SPEL将application.yml中的角色列表注入@PreAuthorize？

当然可以实现！这里有两种简洁的方案，你可以根据自己的习惯选择：

方案一：直接在SPEL表达式中解析配置字符串 #

首先在application.yml里定义你的管理员角色列表（用逗号分隔）：

my:
  security:
    admin-roles-list: "ADMIN,SUPER_ADMIN,OPERATOR"

然后在@PreAuthorize中使用SPEL的字符串分割和集合转换，直接把配置值传入hasAnyRole：

@PreAuthorize("hasAnyRole(T(java.util.Arrays).asList('${my.security.admin-roles-list}').split(','))")
public void someAdminOnlyMethod() {
    // 你的业务逻辑
}

这个表达式的逻辑是：

1. 先通过${my.security.admin-roles-list}读取配置文件中的字符串
2. 用split(',')把字符串分割成字符串数组
3. 用Arrays.asList()转成List，作为hasAnyRole的参数

方案二：先注入到类变量，再在SPEL中引用（更易维护） #

如果觉得直接在注解里写长表达式不够清晰，可以先把配置值注入到类的变量中，再通过SPEL引用这个变量：

1. 同样在application.yml中配置角色列表：

my:
  security:
    admin-roles-list: "ADMIN,SUPER_ADMIN,OPERATOR"

2. 在你的Controller/Service类中注入并处理角色列表：

import org.springframework.beans.factory.annotation.Value;
import org.springframework.security.access.prepost.PreAuthorize;
import org.springframework.stereotype.Service;
import java.util.List;

@Service
public class AdminService {

    // 直接注入分割后的角色列表
    @Value("#{'${my.security.admin-roles-list}'.split(',')}")
    private List<String> adminRoles;

    @PreAuthorize("hasAnyRole(@this.adminRoles)")
    public void performAdminOperation() {
        // 管理员专属操作
    }
}

这里的@this.adminRoles是SPEL语法，用来引用当前类中的adminRoles变量。

重要注意事项 #

• 角色前缀问题：Spring Security的hasAnyRole()方法会自动给每个传入的角色加上ROLE_前缀。也就是说，如果你的配置里写的是ADMIN，实际匹配的是用户权限中的ROLE_ADMIN。如果你的角色本身已经带有ROLE_前缀（比如配置是ROLE_ADMIN），请改用hasAnyAuthority()方法，避免重复添加前缀。
• 清理空格：如果配置文件中角色列表不小心加了空格（比如ADMIN, SUPER_ADMIN），分割后会出现带空格的角色名，导致权限匹配失败。可以在注入时加上trim处理：

  @Value("#{'${my.security.admin-roles-list}'.split(',').stream().map(String::trim).collect(java.util.stream.Collectors.toList())}")
  private List<String> adminRoles;
  

内容的提问来源于stack exchange，提问作者Whimusical