为什么`@preauthorize`不保护我的服务方法？

Question

我有一个用Java Spring MVC构建的web应用程序，并使用Spring Security进行登录。登录/退出工作很好。有两个用户角色“role_admin”和“role_user”。

我想确保我的方法userservice.createUser(username)只能由具有“role_admin”角色的用户访问。

我添加了@preauthorize批注，如下所示...

public class UserServiceImpl implements UserService {

    @PreAuthorize("hasRole('ROLE_ADMIN')")
    public Integer createUser(String username) throws Exception {
        /* .... */
    }

    /* ... */
}

Answer 1

这个解决方案，多亏了@R.G提供的链接...

我将@EnableGlobalMethodSecurity(PrePostEnabled=True)添加到配置类中，如下所示...

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled=true)
public class AppConfig {
    /* ... */
}

然后我将@preauthorize添加到接口中的方法中，如下所示...

public interface UserService {

    @PreAuthorize("hasRole('ROLE_ADMIN')")
    public Integer createUser(String username) throws Exception;

}