@Secured批注在具有Autoproxy的AspectJ模式下不起作用

Question

我正在尝试让我的Spring MVC应用程序与Spring
@Secured批注和AspectJ自动代理一起很好地使用，但是它似乎并没有代理或识别我的@Secured批注。我有一个像这样的控制器：

@Controller
@RequestMapping("/")
public class ApplicationController {

    private ApplicationFactory applicationFactory;

    @Inject
    public ApplicationController(ApplicationFactory applicationFactory) {
        super();
        this.applicationFactory = applicationFactory;
    }

    @Secured("ROLE_USER")
    @ResponseBody
    @RequestMapping(method = GET)
    public Application getApplicationInfo() {
        return applicationFactory.buildApplication(this);
    }

}

春季安全性XML如下所示：

码：

  <security:global-method-security secured-annotations="enabled" mode="aspectj" proxy-target-class="true" />

  <security:http auto-config="true" use-expressions="true">
    <security:http-basic/>
  </security:http>

上面的内容是由无XML的Spring @Configuration组件加载的，如下所示：

@Configuration
@ComponentScan(basePackages = {"com.example"})
@EnableWebMvc
@ImportResource("classpath:security.xml")
public class ApplicationConfiguration extends WebMvcConfigurerAdapter {

}

依次使用Servlet 3.0 WebApplicationInitializer进行加载：

public class SpringMvcInitializer implements WebApplicationInitializer {

    private final AnnotationConfigWebApplicationContext context = new AnnotationConfigWebApplicationContext();

    public void onStartup(ServletContext servletContext) throws ServletException {
        context.register(ApplicationConfiguration.class);

        servletContext.addListener(new ContextLoaderListener(context));
        servletContext.addListener(new Log4jConfigListener());

        final DelegatingFilterProxy proxy = new DelegatingFilterProxy("springSecurityFilterChain", context);
        FilterRegistration.Dynamic filter = servletContext.addFilter("securityFilter", proxy);
        filter.addMappingForUrlPatterns(EnumSet.of(REQUEST), false, "/*");

        final DispatcherServlet servlet = new DispatcherServlet(context);
        ServletRegistration.Dynamic dispatcher = servletContext.addServlet("dispatcher", servlet);
        dispatcher.setLoadOnStartup(1);
        dispatcher.addMapping("/*");
    }

}

但是，Spring Security不会检测到注释，并且我仍然能够在未经授权的情况下使用上面的安全端点。根据Spring Security
FAQ
，这可能是因为该<global-method- security>元素是在错误的应用程序上下文中加载的，但是我不知道如何使用上述no-xml Spring配置来确保这一点。

我想念什么吗？我尝试将@EnableAspectJAutoProxy（proxyTargetClass =
true）添加到我的应用程序配置中，但这也无济于事。无论如何，是否需要进行运行时编织，还是必须使用编译时编织为我的应用程序启用基于注释的安全性？

Answer 1

将AOP与Spring结合使用时，可以在两种AOP实现之间进行选择：

• Spring AOP的实现不需要编织，但是仅适用于Spring管理的bean，并且有一些限制

• AspectJ AOP实现可以适用于所有对象，并且不受Spring AOP的限制，但是需要编译时或加载时编织

mode="aspectj" 告诉Spring使用AspectJ进行AOP实现，因此，如果不进行案例编织，安全性方面将无法工作。

术语“ AspectJ自动代理”与将AspectJ用作AOP实现无关—它是一项功能，允许您在Spring AOP中使用AspectJ API（而不是实现）。

因此，在您的情况下，您可以使用Spring AOP实现，因为控制器是Spring
bean，因此应删除mode="aspectj"。还要注意，您的控制器应具有无参数的构造函数-这是Spring AOP的局限之一。