@Secured 在控制器中不起作用，但拦截 url 似乎工作正常

Spring

使用 Spring Security 时，我们通常会使用 @Secured 注解来保护我们的控制器方法，以确保只有授权的用户才能访问特定的接口。然而，有时候我们可能会遇到 @Secured 注解在控制器中不起作用的情况，而拦截 URL 的功能似乎正常工作。本文将探讨这个问题，并提供一个案例代码来说明。

首先，让我们来了解一下 @Secured 注解的作用。@Secured 注解是 Spring Security 提供的一种基于角色的访问控制方式。通过在控制器方法上添加 @Secured 注解，并指定允许访问该方法的角色，我们可以在方法被调用之前进行权限检查。如果当前用户的角色与 @Secured 注解指定的角色匹配，那么该用户就被授权访问该方法，否则将返回访问被拒绝的错误。

然而，有时候我们可能会发现在控制器中添加了 @Secured 注解后，权限检查并没有生效。这可能是由于配置问题或者其他原因导致的。但是我们会发现，拦截 URL 的功能似乎仍然可以正常工作。接下来，我们将通过一个案例来说明这个问题。

假设我们有一个简单的控制器 UserController，其中包含两个方法：getUserInfo() 和 updateUser()。我们希望只有角色为 "ROLE_ADMIN" 的用户才能访问 updateUser() 方法。因此，我们在该方法上添加了 @Secured({"ROLE_ADMIN"}) 注解。然而，当我们使用角色为 "ROLE_USER" 的用户尝试访问该方法时，我们发现权限检查并没有生效，用户依然可以访问该方法。

为了解决这个问题，我们需要确保在我们的应用程序中正确配置了 Spring Security。我们需要在 Spring Security 的配置文件中添加以下代码：

Java
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .and()
            .httpBasic();
    }
    
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user").password("{noop}password").roles("USER")
            .and()
            .withUser("admin").password("{noop}password").roles("ADMIN");
    }
}

上述代码中，我们使用了基于内存的用户认证方式，并设置了两个用户：一个是角色为 "USER" 的普通用户，另一个是角色为 "ADMIN" 的管理员用户。我们在 configure() 方法中使用了 antMatchers() 来定义了一个规则：只有以 "/admin" 开头的 URL 才需要角色为 "ADMIN" 的用户才能访问。这样，我们就实现了对 updateUser() 方法的权限控制。

接下来，让我们来测试一下我们的控制器方法是否受到了正确的权限控制。我们可以使用 Postman 或者其他工具来发送 HTTP 请求进行测试。首先，我们使用角色为 "USER" 的用户尝试访问 updateUser() 方法：

Java
GET http://localhost:8080/user/updateUser

我们会发现返回了一个访问被拒绝的错误，说明权限控制生效了。接下来，我们使用角色为 "ADMIN" 的用户再次尝试访问 updateUser() 方法：

Java
GET http://localhost:8080/user/updateUser

这次我们会发现成功访问了该方法，说明权限控制生效了。

在本文中，我们讨论了在使用 Spring Security 时，@Secured 注解在控制器中不起作用的问题。我们了解了 @Secured 注解的作用和用法，并通过一个案例代码说明了如何正确配置 Spring Security 来实现权限控制。通过正确配置，我们可以确保只有授权的用户才能访问特定的接口，从而提高系统的安全性。