安全注释@preauthorize在@controller中不生效，仅在带有Spring Security 3.2.5的@service中生效

Question

正如标题所暗示的那样。

Bellow是我的Spring Security配置：

@Configuration
@EnableGlobalMethodSecurity(proxyTargetClass = true, prePostEnabled = true)
@EnableWebMvcSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private AbstractAuthenticationProcessingFilter userPassAuthFilter;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.
                authorizeRequests()
                .anyRequest().authenticated()
                .and()
                .csrf().disable();
        http.addFilterBefore(userPassAuthFilter, BasicAuthenticationFilter.class)
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    }

}

和我的控制器：

@RestController
@Transactional
public class RoleController {

    @Autowired
    private UserBusinessService userBusinessService

    @RequestMapping(value = "/api/list_users", method = RequestMethod.GET)
    @PreAuthorize("hasRole('N123ORMAL_ROLE1')")
    public Iterable listUsers() {
        return userBusinessService.getAllUsers();
    }

}

有了这一点，当尝试使用没有指定角色的用户访问/api/list_users时，它可以毫无问题地获得它。即使是原木也是完美的，没有注意到任何东西。当移动@preauthorize在UserBusinessServiceatgetallusers()中时，它的工作与预期一样：在日志中抛出错误并返回拒绝访问。

有人能帮我让@preauthorize批注对@controller和对@service一样工作吗？

Answer 1

我在@Transactional和@PostFilter中遇到了类似的问题。问题是aop建议排序问题。

这个问题在这方面帮助了我：Spring@事务性和Spring Security@预授权的顺序

我希望这有助于解决你的问题。