Spring Security 中的安全注释

Question

我正在尝试在 spring security 中配置安全注释。但我对此有一个疑问 -

....
<security:http auto-config="true" use-expressions="true">
....

当我使用

@Secured("CUSTOM_ACCESS")
public String query();

它时它不起作用。但我使用

@PreAuthorize("hasRole('CUSTOM_ACCESS')")
public String query();

它可以正常工作并应用相关角色。这是否意味着 @Secured 注释不能与 @PreAuthorize 一起使用？

我也尝试添加

   <security:global-method-security secured-annotations="enabled" />

但没有帮助。

   <security:global-method-security pre-post-annotations="enabled" />

上面的配置工作正常。有什么想法吗？

Answer 1

首先， 元素中的 use-expressions 设置对方法安全注释没有影响。这些是使用global-method-security启用的。

使用

   <security:global-method-security pre-post-annotations="enabled" />

将启用 PreAuthorize 及其相关注释。当您启用安全注释时，安全注释不起作用的原因是没有投票者知道 CUSTOM_ACCESS 的含义。在其默认设置中，Spring Security 的 RoleVoter 仅使用以前缀 ROLE_ 开头的属性。有关详细信息，请参阅此常见问题解答。

投票者除了检查简单角色之外还可以用于其他用途，因此他们通常需要某种方式来确定为方法配置的哪些属性适用于他们。基于表达式的注释的操作方式与标准投票器不同。 hasRole 表达式只是查找分配给用户的命名权限。

因此，如果您为方法安全性创建了一个 AccessDecisionManager，并使用一个 AccessDecisionVoter 来消耗您的 CUSTOM_ACCESS 属性，那么 @Secured注释会有效果。然而，由于您已经将其与 PostAuthorize 一起使用，您可能只想坚持下去。