2026-04-03

Spring Security 三种注解类型详解

Spring Security 提供了三种类型的注解来实现方法级别的权限控制：

JSR-250 注解：标准的 Java EE 规范注解
@Secured 注解：Spring Security 原生注解
基于表达式（Spring EL）的注解：功能最强大的注解类型

通过 @EnableGlobalMethodSecurity 注解的参数来开启相应的注解支持。

@Configuration
@EnableGlobalMethodSecurity(jsr250Enabled = true, prePostEnabled = true, securedEnabled = true)
public class MyGlobalMethodSecurityConfiguration extends GlobalMethodSecurityConfiguration {
}

配置参数说明

参数	说明
`prePostEnabled`	启用基于表达式的注解：@PreAuthorize、@PostAuthorize、@PreFilter、@PostFilter
`securedEnabled`	启用 @Secured 注解
`jsr250Enabled`	启用 @RolesAllowed 注解（JSR-250 标准）

基于表达式（Spring EL）的注解

这类注解功能最为强大，支持使用 Spring EL 表达式进行复杂的权限判断。

内置表达式

表达式根对象的基类是 org.springframework.security.access.expression.SecurityExpressionRoot。

表达式	描述
`hasRole([role])`	判断是否有指定角色。如果参数 role 不是以”ROLE_”开头，则默认会被加上此前缀。可以在 `DefaultWebSecurityExpressionHandler` 中修改 `defaultRolePrefix` 属性实现自定义前缀。
`hasAnyRole([role1,role2])`	判断是否有指定的任一角色。默认前缀同上。
`hasAuthority([authority])`	判断是否有指定权限。
`hasAnyAuthority([authority1,authority2])`	判断是否有指定的任一权限。
`principal`	代表当前用户的主体对象。
`authentication`	从 SecurityContext 获得的当前 Authentication 对象。
`permitAll`	返回值始终为 true。允许任何人访问。
`denyAll`	返回值始终为 false。不允许任何人访问。
`isAnonymous()`	判断当前主体是否匿名用户。
`isRememberMe()`	判断当前主体是否”remember-me”用户
`isAuthenticated()`	判断当前主体是否非匿名用户。
`isFullyAuthenticated()`	如果当前主体不是匿名用户或”remember-me”用户，则返回 true。
`hasPermission(Object target, Object permission)`	如果用户对于给定的目标有指定权限的访问，则返回 true。需要自定义实现。
`hasPermission(Object targetId, String targetType, Object permission)`	如果用户对于给定的目标（唯一标识+类型）有指定权限的访问，则返回 true。需要自定义实现。

四个核心注解

注解	说明
`@PreAuthorize`	方法执行之前判断当前人员是否有权限
`@PostAuthorize`	方法执行之后判断当前人员是否有权限
`@PreFilter`	对方法参数进行过滤
`@PostFilter`	对返回值进行过滤

Spring-EL 表达式的使用

参数引用

直接引用参数名

1 2	@PreAuthorize("#contact.username == authentication.name") public void doSomething(Contact contact);

使用 @P 注解引用（Spring Security）

import org.springframework.security.access.method.P;

@PreAuthorize("#c.username == authentication.name")
public void doSomething(@P("c") Contact contact);

使用 @Param 注解引用（Spring Data）

import org.springframework.data.repository.query.Param;

@PreAuthorize("#c.username == authentication.name")
Contact findContactByName(@Param("c") Contact contact);

集合过滤

在使用 @PreFilter、@PostFilter 注解时，可以使用内置名称 filterObject 表示方法参数、方法返回值集合中的单个对象。

@PreFilter - 参数过滤

对方法参数的过滤。如果存在多个集合类型参数，则需要通过 filterTarget 属性指定目标集合。

1 2	@PreFilter(value = "filterObject!=authentication.principal.username", filterTarget = "usernames") public String joinUsernamesAndRoles(List<String> usernames, List<String> roles);

@PostFilter - 返回值过滤

对方法返回值进行过滤。

1 2	@PostFilter("hasPermission(filterObject, 'read') or hasPermission(filterObject, 'write')") public List<Contact> getAll();

Spring Bean 方法引用

可以通过 Spring-EL 表达式直接引用 Spring Bean 的方法，以方法的返回值（true/false）作为权限判断的结果。

1. 定义权限检查服务

@Service("myService")
public class MyServiceImpl implements MyService {

    /**
     * 判断当前人员是否为 admin
     * @return true：是；false：不是
     */
    @Override
    public boolean isAdmin() {
        return "admin".equals(
            ((User) SecurityContextHolder.getContext().getAuthentication()).getUsername()
        );
    }
}

2. 在方法上使用

/**
 * 根据 ID 查询数据
 * @param id ID
 * @return 结果
 */
@GetMapping(path = "/{id}")
@PreAuthorize("@myService.isAdmin()")
public ResponseEntity<Object> queryById(@PathVariable("id") Long id) {
    // ...
}

hasPermission() 内置表达式

工作原理

hasPermission() 内置表达式委托给了 org.springframework.security.access.PermissionEvaluator 的实例进行处理。

核心类层级关系

SecurityExpressionRoot (基类)
    └─ MethodSecurityExpressionRoot
        └─ DefaultMethodSecurityExpressionHandler
            └─ GlobalMethodSecurityConfiguration

PermissionEvaluator 接口

public interface PermissionEvaluator {
    boolean hasPermission(Authentication authentication, Object targetDomainObject, Object permission);
    boolean hasPermission(Authentication authentication, Serializable targetId, String targetType, Object permission);
}

自定义 PermissionEvaluator

1. 实现 PermissionEvaluator 接口

public class MyPermissionEvaluator implements PermissionEvaluator {

    @Override
    public boolean hasPermission(Authentication authentication, Object targetDomainObject, Object permission) {
        // 当前人员
        User user = (User) authentication.getPrincipal();
        // 业务权限判断 TODO
        return true/false;
    }

    @Override
    public boolean hasPermission(Authentication authentication, Serializable targetId, String targetType,
        Object permission) {
        // 当前人员
        User user = (User) authentication.getPrincipal();
        // 业务权限判断 TODO
        return true/false;
    }
}

2. 配置到 Spring Security

@Configuration
@EnableGlobalMethodSecurity(jsr250Enabled = true, prePostEnabled = true, securedEnabled = true)
public class MyGlobalMethodSecurityConfiguration extends GlobalMethodSecurityConfiguration {

    @Bean
    public PermissionEvaluator permissionEvaluator() {
        return new MyPermissionEvaluator();
    }
}

3. 使用示例

/**
 * 根据 ID 查询数据
 * @param id ID
 * @return 结果
 */
@GetMapping(path = "/{id}")
@PreAuthorize("hasPermission(#id, 'myType', '')")
public ResponseEntity<Object> queryById(@PathVariable("id") Long id) {
    // ...
}

三种注解类型对比

特性	JSR-250 (@RolesAllowed)	@Secured	Spring EL (@PreAuthorize)
标准化	是 Java EE 标准	Spring 专有	Spring 专有
表达能力	仅支持角色判断	仅支持角色判断	支持任意 Spring EL 表达式
权限判断	简单角色检查	简单角色检查	复杂业务逻辑
灵活性	低	中	高
推荐场景	简单角色控制	简单角色控制	复杂业务权限

使用建议

简单角色控制：使用 @RolesAllowed 或 @Secured
复杂权限控制：使用 @PreAuthorize 配合自定义 PermissionEvaluator
权限表达式：充分利用 hasRole()、hasAnyRole()、hasAuthority() 等内置表达式
Bean 引用：对于复杂的业务权限判断，通过 Spring Bean 方法引用实现

2026-03-16

PostgreSQL 数据库配置 SSL 双向认证，并通过 Spring 访问

生成证书

1. 服务器端生成三个文件

root.crt (可信根证书)
server.crt (服务器证书)
server.key (私钥)

生成私钥（需要设置密码）

1	openssl genrsa -des3 -out server.key 2048

移除密码（需要输入上一步设置的密码）

1	openssl rsa -in server.key -out server.key

创建服务器证书

1	openssl req -new -key server.key -days 3650 -out server.crt -x509

执行过程中需要输入以下信息：

Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:Beijing
Locality Name (eg, city) []:Beijing
Organization Name (eg, company) [Internet Widgits Pty Ltd]:cuckooM
Organizational Unit Name (eg, section) []:cuckooM
Common Name (e.g. server FQDN or YOUR name) []:127.0.0.1
Email Address []:

注意：”Common Name” 应该写为服务器的 IP 地址或域名。

由于是自签名，服务器证书可作为可信根证书

1	cp server.crt root.crt

2. 客户端生成三个文件

root.crt (可信根证书，已在服务器端生成)
client.crt (客户端证书)
client.key (私钥)

生成私钥（需要设置密码）

1	openssl genrsa -des3 -out client.key 2048

移除密码（需要输入上一步设置的密码）

1	openssl rsa -in client.key -out client.key

创建客户端证书

1	openssl req -new -key client.key -out client.csr

执行过程中需要输入以下信息：

Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:Beijing
Locality Name (eg, city) []:Beijing
Organization Name (eg, company) [Internet Widgits Pty Ltd]:cuckooM
Organizational Unit Name (eg, section) []:cuckooM
Common Name (e.g. server FQDN or YOUR name) []:blog
Email Address []:

注意：”Common Name” 应该设置为要连接的数据库用户名。

转换格式。将 PEM 格式的密钥转换为 DER 格式。

1	openssl pkcs8 -topk8 -inform PEM -in client.key -outform DER -nocrypt -out client.pk8

3. 文件总结

完成上述步骤后，我们为服务器和客户端生成了以下文件：

client.crt
client.csr
client.key
client.pk8
root.crt
server.crt
server.key

服务器配置

1. pg_hba.conf

添加以下内容：

1 2	hostssl all all 0.0.0.0/0 cert hostssl all all ::1/128 cert

2. postgresql.conf

修改以下配置：

ssl = on
ssl_ca_file = '/etc/postgresql/certs/root.crt'
ssl_cert_file = '/etc/postgresql/certs/server.crt'
ssl_key_file = '/etc/postgresql/certs/server.key'

客户端配置

Spring Boot application.yml

spring:
  datasource:
    driver-class-name: org.postgresql.Driver
    url: jdbc:postgresql://127.0.0.1:5432/blog?ssl=true&sslmode=verify-ca&sslcert=D:\\certs\\client.crt&sslkey=D:\\certs\\client.pk8&sslrootcert=D:\\certs\\root.crt
    username: blog
    password: blog

验证配置

连接成功后，可以使用以下 SQL 验证 SSL 连接：

1	SELECT * FROM pg_stat_ssl;

如果连接使用了 SSL，将显示相应的 SSL 信息。