Spring Security 3.2：未考虑@安全注释

Question

我正在尝试使用Spring 3.2.4和Spring Security 3.2保护我的RESTful API，并使用@Secured注释。我有以下设置：

网状物xml：

<context-param>
    <param-name>contextConfigLocation</param-name>
    <param-value>
        classpath*:spring/*.xml
        /WEB-INF/classes/security/security-context.xml
    </param-value>
</context-param>

<listener>
    <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
</listener>

<!-- Spring Security -->
<filter>
    <filter-name>springSecurityFilterChain</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>

<filter-mapping>
    <filter-name>springSecurityFilterChain</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

<!-- Servlet configuration -->
<servlet>
    <servlet-name>appServlet</servlet-name>
    <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
    <init-param>
        <param-name>contextConfigLocation</param-name>
        <param-value>classpath:spring/servlet/servlet-context.xml</param-value>
    </init-param>
    <load-on-startup>1</load-on-startup>
</servlet>

<servlet-mapping>
    <servlet-name>appServlet</servlet-name>
    <url-pattern>/</url-pattern>
</servlet-mapping>

servlet上下文。xml：

<context:component-scan base-package="com.mycompany.rest.controller" />
<security:global-method-security secured-annotations="enabled" />

安全上下文。xml

<beans:bean id="merchantUserDetailsService" class="com.mycompany.rest.security.CustomUserDetailsService" /> 

<http auto-config="false" create-session="never">
    <http-basic />
</http>

<authentication-manager>
    <authentication-provider user-service-ref="customUserDetailsService" />
</authentication-manager>

我正在以编程方式将customUserDetailsService中的自定义角色（ROLE\u GROUP、ROLE\u DIVISION、ROLE\u READ、ROLE\u WRITE）分配给用户，这很好。

我的一个控制器：

@Secured("ROLE_DIVISION")
@RequestMapping(method = RequestMethod.GET)
ResponseEntity<List<CustomerResource>> getCustomer() throws ResourceDoestNotExistException {
    List<Customer> providers = // retrieve providers from DAO
    List<CustomerResource> resources = customerResourceAssembler.toResources(customers);
    return new ResponseEntity<>(resources, HttpStatus.OK);
}

现在是我的问题，@安全注释被忽略了。我想使用@安全注释来避免在配置中定义多个。当我至少添加一个时，Spring Security可以正常工作，但是如何避免定义它们而不是依赖@安全注释呢？

我现在可以使用角色为“ROLE_GROUP”的用户访问上述方法。

Answer 1

看起来您一切正常，只是启用了错误类型的批注。如果您查看文档中的全局方法安全性，您将看到一个名为安全注释的单独属性，该属性启用安全注释。