Question

尽管@Secured和@RolesAllowed注解在拒绝未认证用户方面表现不错，但这也是它们所能做到的所有事情了。有时候，安全性约束不仅仅涉及用户是否有权限。

Spring Security 3.0引入了几个新注解，它们使用SpEL能够在方法调用上实现更有意思的安全性约束。这些新的注解在表14.1中进行了描述。

这些注解的值参数中都可以接受一个SpEL表达式。表达式可以是任意合法的SpEL表达式，可能会包含表9.5所列的Spring Security对SpEL的扩展。如果表达式的计算结果为true，那么安全规则通过，否则就会失败。安全规则通过或失败的结果会因为所使用注解的差异而有所不同。

表14.1　Spring Security 3.0提供了4个新的注解，可以使用SpEL表达式来保护方法调用

注　　解	描　　述
@PreAuthorize	在方法调用之前，基于表达式的计算结果来限制对方法的访问
@PostAuthorize	允许方法调用，但是如果表达式计算结果为false，将抛出一个安全性异常
@PostFilter	允许方法调用，但必须按照表达式来过滤方法的结果
@PreFilter	允许方法调用，但必须在进入方法之前过滤输入值

稍后，我们将会看到每个注解的例子。但首先，我们需要将@EnableGlobalMethod-Security注解的prePostEnabled属性设置为true，从而启用它们：

现在，方法调用前后的注解都已经启用了，我们可以使用它们了。我们首先看一下如何使用@PreAuthorize和@PostAuthorize注解限制对方法的调用。