Spring Security：@PreAuthorize仅与@RequestMapping一起使用

Question

我有一个Spring MVC控制器，并希望通过Spring Method Security来保护它。

在下面的例子它的工作原理 - @RequestMapping和@PreAuthorize注释相同的方法：

@Controller 
public class MyController { 

    @RequestMapping(value = "/test", method = {RequestMethod.POST, RequestMethod.GET}) 
    @PreAuthorize("isAuthenticated()") 
    public ModelAndView handleRequest(HttpServletRequest request, HttpServletResponse response) throws Exception { 
     return test(request, response); 
    } 

    public ModelAndView test(HttpServletRequest request, HttpServletResponse response) throws Exception { 
     ... 
    } 

在这个例子中它不工作 - @RequestMapping和@PreAuthorize注释不同的方法：

@Controller 
public class MyController { 

    @RequestMapping(value = "/test", method = {RequestMethod.POST, RequestMethod.GET}) 
    public ModelAndView handleRequest(HttpServletRequest request, HttpServletResponse response) throws Exception { 
     return test(request, response); 
    } 

    @PreAuthorize("isAuthenticated()") 
    public ModelAndView test(HttpServletRequest request, HttpServletResponse response) throws Exception { 
     ... 
    } 

什么可能是这个奇怪的原因b ehaviour？

Answer 1

在第二个示例中，test方法直接从handleRequest方法中调用。 Spring没有机制在同一个类中拦截方法调用。因此，@PreAutorize开始的代理/ AOP方法从不被调用。

More on the topic of Spring Proxy