@PreAuthorize 的 Spring 安全使用

【问题标题】：Spring security use of @PreAuthorize@PreAuthorize 的 Spring 安全使用
【发布时间】：2016-11-16 10:13:43
【问题描述】：

最近我一直在研究一个要求，即某些 UI 元素应该只对具有特定角色的用户可见（比如角色是 XXX）

我用过：

<sec:authorize access="hasRole('XXX')"> <input type="button"/></sec:authorize>

效果很好。

但我只是想了解是否需要在 java 代码中添加以下行？如果是，那为什么？

@PreAuthorize("hasRole('XXX')")

【问题讨论】：

标签： javascript java spring spring-security

【解决方案1】：

通常情况下，这取决于。

如果您正在使用 Spring MVC 构建/维护经典 MVC 应用程序，并且您的所有 RequestMapping 都指向 (JSP) 视图（因此由 InternalResourceViewResolver 解析并通常由 JspServlet 呈现) 你不需要@PreAuthorize。

但是，如果您要暴露至少一个端点，例如作为 JSON/XML，如果需要，您需要添加 @PreAuthorize。

简单地说，如果您的处理程序方法返回的值可以通过ViewResolver 解析，请使用JSP、Velocity 或Freemarker 的相应标记，否则请考虑使用@PreAuthorize。

【讨论】：