总阅读量:次

⭐⭐⭐ Spring Boot 项目实战 ⭐⭐⭐ Spring Cloud 项目实战
《Dubbo 实现原理与源码解析 —— 精品合集》 《Netty 实现原理与源码解析 —— 精品合集》
《Spring 实现原理与源码解析 —— 精品合集》 《MyBatis 实现原理与源码解析 —— 精品合集》
《Spring MVC 实现原理与源码解析 —— 精品合集》 《数据库实体设计合集》
《Spring Boot 实现原理与源码解析 —— 精品合集》 《Java 面试题 + Java 学习指南》

摘要: 原创出处 cnblogs.com/shihuc/p/5051771.html 「SHIHUC」欢迎转载，保留摘要，谢谢！

🙂🙂🙂关注**微信公众号：【芋道源码】**有福利：

  1. RocketMQ / MyCAT / Sharding-JDBC 所有源码分析文章列表
  2. RocketMQ / MyCAT / Sharding-JDBC 中文注释源码 GitHub 地址
  3. 您对于源码的疑问每条留言都将得到认真回复。甚至不知道如何读源码也可以请教噢。
  4. 新的源码解析文章实时收到通知。每周更新一篇左右。
  5. 认真的源码交流微信群。

在Spring security的使用中，为了对方法进行权限控制，通常采用的三个注解，就是@Secured(), @PreAuthorize() 及 @RolesAllowed()。

但是着三者之间的区别，我之前也不是很清楚，现在看看，做个小小的记录，备忘吧！

现在举例，比如修改用户密码，必须是ADMIN的权限才可以。则可以用下面三种方法：

@Secured({"ROLE_ADMIN"})public void changePassword(String username, String password);

@RolesAllowed({"ROLE_ADMIN"})public void changePassword(String username, String password);

@PreAuthorize("hasRole('ROLE_ADMIN')")public void changePassword(String username, String password);

然而，这三个的区别，其实很容易被大家忽视，虽然不是太大的区别。

1、@Secured(): secured_annotation

使用时，需要如下配置Spring Security (无论是通过xml配置，还是在Spring boot下，直接注解配置，都需要指明secured-annotations)

XML: <global-method-security secured-annotations="enabled"/>

Spring boot: @EnableGlobalMethodSecurity(securedEnabled = true)

2、@RolesAllowed(): jsr250-annotations

使用时，需要如下配置Spring Security (无论是通过xml配置，还是在Spring boot下，直接注解配置，都需要指明jsr250-annotations)

XML: <global-method-security jsr250-annotations="enabled"/>

Spring boot: @EnableGlobalMethodSecurity(jsr250Enabled = true)

3、@PreAuthorize(): pre-post-annotations

使用时，需要如下配置Spring Security (无论是通过xml配置，还是在Spring boot下，直接注解配置，都需要指明pre-post-annotations)

XML: <global-method-security pre-post-annotations="enabled"/>

Spring boot: @EnableGlobalMethodSecurity(prePostEnabled = true)

@Secured and @RolesAllowed are the same the only difference is @RolesAllowed is a standard annotation (i.e. not only spring security) whereas @Secured is spring security only. @PreAuthorize is different in a way that it is more powerful then the other 2. It allows for SpEL expression for a more fine-grained control. Which to use well the simplest thing that could possible work, if you don't need expression etc. go with the standard annotations to limit the dependency on spring classes.

比较方法授权的类型

以下的快速参考表可能在你选择授权方法检查时派上用场：

​

方法授权类型 声明方式 JSR标准 允许SpEL表达式
@PreAuthorize@PostAuthorize 注解 No Yes
@RolesAllowed@PermitAll@DenyAll 注解 Yes NO
@Secure 注解 No No
protect-pointcut XML No No

尾注：详细的信息，还是参考Spring的官方参考文档

文章目录