Spring Security中的@Secured注释中是否允许多个角色具有“或”条件

Question

我在我的项目中使用spring和SpringSecurity4。我必须用ROLE\u USER或ROLE\u TIMER\u TASK调用我的dao方法。

目前我正在使用此注释-

 @Secured({"ROLE_USER", "ROLE_TIMER_TASK"})

这个@Secure注释只允许那些同时拥有两个角色的用户，但我想通过拥有其中任何一个角色的用户调用此方法。

如果用户在此角色中拥有任何一个角色并调用此方法，是否可能？

Answer 1

除了holmis83先前的回答。。。。

要启用方法安全性的前注释和后注释，请执行以下操作：

Java配置：

@EnableGlobalMethodSecurity(prePostEnabled = true)
public class MethodSecurityConfig {
// ...
}

Xml配置：

<global-method-security pre-post-annotations="enabled"/>

Answer 2

要通过上述任何角色调用该方法，请使用：

@PreAuthorize("hasAnyRole('ROLE_USER','ROLE_TIMER_TASK')")

并在安全类中启用预注释和后注释：

@EnableGlobalMethodSecurity(prePostEnabled = true)

Answer 3

对于或，使用@PreAuthorize注释代替：

@PreAuthorize("hasRole('ROLE_USER') or hasRole('ROLE_TIMER_TASK')")

在Spring Security版本4中，可以省略ROLE_前缀：

@PreAuthorize("hasRole('USER') or hasRole('TIMER_TASK')")

确保在安全配置中启用了前注释和后注释。