在使用PreAuthorize时，自动安装的服务在响应体方法中为空

Question

我有一个“Foo”控制器，它正在自动装配“Foo”服务。

现在，当我向控制器添加PreAuthorize注释时，视图方法工作正常，PreAuthorize标记仅授予具有ADMIN权限的用户访问权限，但响应体方法（getFoo）不能按预期工作。

使用PreAuthorize注释时，getFoo方法无法正确自动装配/实例化foService对象，该对象的值为null，导致NPE（空指针异常）。

问题概述：当AJAX GET请求调用getFoo方法时，fooService为null（导致NPE）。

然而，当注释掉@PreAuthorize时，调用getFoo时，fooService不再为null。

...

这是代码：

Foo控制器

@Controller
@RequestMapping("/foo")
@PreAuthorize("hasAuthority(T(com.foo.security.Authorities).ADMIN)")
public class FooController {

    @Autowired
    private FooService fooService;

    @RequestMapping(value = "/view") 
    public String view(@AuthenticationPrincipal Principal principal) {
        return "view";
    }

    @RequestMapping(value = "/getFoo")
    @ResponseBody
    public Foo getFoo() {
        fooService.getFoo(); <- NPE happens here
    }
}

Foo服务

@Service("fooService")
public class FooServiceImpl implements FooService {

    @Autowired
    FooRepository fooDao;

    @Override
    public Foo getFoo() {
        return fooDao.getFoo();
    }
}

安全配置

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter { ... }

Answer 1

调用服务的线程似乎没有正确的安全角色。

尝试移动@PreAuthorize注释以仅保护view方法。

同样根据您的评论，我发现您的问题可能是使用了两个不同的bean实例。检查是否未在上下文文件中复制定义。

Answer 2

确保所有带有RequestMapping注释的控制器方法未声明为私有