区别： @Secured(), @PreAuthorize() 及 @RolesAllowed()

在Spring security的使用中，为了对方法进行权限控制，通常采用的三个注解，就是@Secured(), @PreAuthorize() 及 @RolesAllowed()。

但是着三者之间的区别，我之前也不是很清楚，现在看看，做个小小的记录，备忘吧！

现在举例，比如修改用户密码，必须是ADMIN的权限才可以。则可以用下面三种方法：

@Secured({"ROLE_ADMIN"})

public void changePassword(String username, String password);

@RolesAllowed({"ROLE_ADMIN"})

public void changePassword(String username, String password);

@PreAuthorize("hasRole('ROLE_ADMIN')")

public void changePassword(String username, String password);

然而，这三个的区别，其实很容易被大家忽视，虽然不是太大的区别。

1. @Secured(): secured_annotation

使用时，需要如下配置Spring Security (无论是通过xml配置，还是在Spring boot下，直接注解配置，都需要指明secured-annotations)

XML: <global-method-security secured-annotations="enabled"/>

Spring boot: @EnableGlobalMethodSecurity(securedEnabled = true)

2. @RolesAllowed(): jsr250-annotations

使用时，需要如下配置Spring Security (无论是通过xml配置，还是在Spring boot下，直接注解配置，都需要指明jsr250-annotations)

XML: <global-method-security jsr250-annotations="enabled"/>

Spring boot: @EnableGlobalMethodSecurity(jsr250Enabled = true)

3. @PreAuthorize(): pre-post-annotations

使用时，需要如下配置Spring Security (无论是通过xml配置，还是在Spring boot下，直接注解配置，都需要指明pre-post-annotations)

XML: <global-method-security pre-post-annotations="enabled"/>

Spring boot: @EnableGlobalMethodSecurity(prePostEnabled = true)

@Secured and @RolesAllowed are the same the only difference is @RolesAllowed is a standard annotation (i.e. not only spring security) whereas @Secured is spring security only.
@PreAuthorize is different in a way that it is more powerful then the other 2. It allows for SpEL expression for a more fine-grained control. Which to use well the simplest thing that could possible work, if you don't need expression etc. go with the standard annotations to limit the dependency on spring classes.

比较方法授权的类型

以下的快速参考表可能在你选择授权方法检查时派上用场：

方法授权类型	声明方式	JSR标准	允许SpEL表达式
@PreAuthorize @PostAuthorize	注解	No	Yes
@RolesAllowed @PermitAll @DenyAll	注解	Yes	NO
@Secure	注解	No	No
protect-pointcut	XML	No	No

尾注：详细的信息，还是参考Spring的官方参考文档

转载于:https://www.cnblogs.com/jpfss/p/8668228.html

区别： @Secured(), @PreAuthorize() 及 @RolesAllowed()相关推荐

Spring Security 4 Method security using @PreAuthorize,@PostAuthorize, @Secured, EL--转
原文地址:http://websystique.com/spring-security/spring-security-4-method-security-using-preauthorize-pos ...
Spring Security 4 使用@PreAuthorize,@PostAuthorize, @Secured, EL实现方法安全
原文地址: http://blog.csdn.net/w605283073/article/details/51327182 本文探讨spring Security 4 基于@PreAuthoriz ...
SpringSecurity给用户授权，一个用户能同时拥有多种身份Role，及权限鉴权注解方法hasRole及hasAuthority的使用区别
文章目录 1.SpringSecurity一般分为两个重点 2.实际上用户存在一般就等于认证成功,认证成功之后就存在授权的问题 3.一个用户可以有多个身份 4.看图 5.hasRole及hasAuth ...
SpringSecurity，jwt oathu sso，YeZiJie
Spring Security 中文文档参考手册中文版 (springcloud.cc) 一 springsecurity 1 SpringSecurity框架简介安全框架:解决系统安全问题的框 ...
SpringSecurity入门到入土教程_1
https://gitee.com/fakerlove/spring-security 文章目录 SpringSecurity 教程 1. 简介 1.1 概念 1.2 入门案例 1.3 自定义登录逻辑 ...
Spring——Security安全框架之注解使用
文章目录前言本次测试注解介绍注解使用 @Secured @PreAuthorize @PostAuthorize @PostFilter @PreFilter 代码下载前言之前securi ...
SpringSecurity的简单使用
目录概述 HelloWorld 依赖写一个Controller 访问接口用户认证设置登录的用户名和密码通过配置文件通过配置类自定义编写实现类查询数据库的用户认证自定义登录页面用户授 ...
SpringSecurity与JWT认证
SpringSecurity 教程 1. 简介 1.1 概念 1.2 入门案例 1.3 自定义登录逻辑 1.4 自定义登录页面 1.5 自定用户名参数 1.5 自定义成功处理器 1.6 登录失败处理器 ...
Security注解：@PreAuthorize,@PostAuthorize, @Secured, EL实现方法安全
说明 (1)JDK版本:1.8 (2)Spring Boot 2.0.6 (3)Spring Security 5.0.9 (4)Spring Data JPA 2.0.11.RELEASE (5)h ...
Spring Security - @PreAuthorize安全表达式hasRole、hasAuthority区别
hasRole: 角色授权:授权代码,在我们返回的UserDetails的Authority需要加ROLE_前缀,Controller上使用时不要加前缀: hasAuthority: 权限授权:用户自 ...

区别： @Secured(), @PreAuthorize() 及 @RolesAllowed()

比较方法授权的类型

区别： @Secured(), @PreAuthorize() 及 @RolesAllowed()相关推荐

最新文章

热门文章