@PreAuthorize注解

 

  @PreAuthorize是Spring Security框架提供的注解之一，用于在方法级别进行访问控制的设置。它可以标注在Controller层或Service层的方法上，以便在方法执行之前进行权限验证。 

   当一个方法被@PreAuthorize注解标记时，Spring Security会在执行该方法之前检查当前用户是否具有指定的权限。如果用户没有所需的权限，将会抛出AccessDeniedException异常，从而阻止方法的执行。

   以下是一个使用@PreAuthorize注解的一个实例：

@PreAuthorize("#oauth2.hasScope('server') or #name.equals('demo')")
	@RequestMapping(path = "/{name}", method = RequestMethod.GET)
	public Account getAccountByName(@PathVariable String name) {
		return accountService.findByName(name);
	}

• @PreAuthorize("#oauth2.hasScope('server') or #name.equals('demo')"): 这里使用了@PreAuthorize注解来定义方法级别的访问控制规则。表达式#oauth2.hasScope('server') or #name.equals('demo')指定了权限验证条件，要求当前OAuth2令牌拥有server范围的权限或者请求的name参数等于"demo"时才允许访问该方法。

查看@PreAuthorize的源码：

@Target({ElementType.METHOD, ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
@Inherited
@Documented
public @interface PreAuthorize {
    String value();
}

• @Target({ElementType.METHOD, ElementType.TYPE}): 这个元注解表示PreAuthorize注解可以应用在方法（ElementType.METHOD）和类（ElementType.TYPE）级别上。即可以标注在方法或类上。

• @Retention(RetentionPolicy.RUNTIME): 这个元注解指定了PreAuthorize注解的保留策略为运行时（RetentionPolicy.RUNTIME），可以在运行时通过反射机制读取到该注解的信息。

• @Inherited: 这个元注解表示PreAuthorize注解具有继承性，如果一个父类被@PreAuthorize注解标记，那么子类将继承这个注解。

• @Documented: 这个元注解表示PreAuthorize注解将会被Java文档工具提取并显示在生成的文档中，以便开发人员能够查看注解的说明。

• public @interface PreAuthorize { String value(); }: 定义了PreAuthorize注解，包含一个value()方法，用于设置注解的值。在使用@PreAuthorize注解时，可以通过value()方法传入相应的权限验证表达式。

综合来看，PreAuthorize注解是一个自定义的用于方法和类级别访问控制的注解，在运行时保留，可应用在方法和类上，并且具有继承性。

@PreAuthorize注解通常用于Spring Security框架中，以定义方法级别的访问控制规则。除了在Controller层或Service层的方法上使用之外，@PreAuthorize注解还可以应用于其他地方，例如：

1. 在Spring MVC的Controller中：@PreAuthorize注解可以标注在处理请求的Controller类或方法上，用于对HTTP请求进行权限验证。

2. 在Service层的业务方法中：如果需要对特定的业务逻辑进行细粒度的权限控制，可以将@PreAuthorize注解标注在Service层的方法上，确保只有具备相应权限的用户能够执行该方法。

3. 在方法上覆盖类级别的安全配置：如果一个类级别上有安全配置，通过在方法上使用@PreAuthorize注解，可以对该方法的安全性进行进一步的定制，从而覆盖类级别的安全规则。

4. 在其他自定义注解中：@PreAuthorize注解可以嵌套在自定义的注解中，以实现复杂的权限验证逻辑。这样可以在自定义注解中引用@PreAuthorize的功能，实现更灵活的权限控制。