@PreAuthorize与@Secured注解的区别是什么？

@PreAuthorize和@Secured都是Spring Security中的注解，它们用于方法安全，即定义哪些用户有权限调用特定的方法。尽管它们的目的相同，但是它们提供了不同的功能和表达方式。

@PreAuthorize

@PreAuthorize注解在方法调用之前进行安全检查，它支持Spring Expression Language (SpEL)表达式，这使得你可以编写更复杂的安全条件。

例如，你可以检查用户是否拥有特定的角色：

@PreAuthorize("hasRole('ROLE_USER')")
public void methodOnlyForUsers() {
    // 方法内容
}

或者更复杂的条件，比如基于方法参数的动态安全表达式：

@PreAuthorize("#userId == authentication.principal.id")
public void methodForSpecificUser(Long userId) {
    // 方法内容
}

在上面的例子中，只有当方法参数userId与认证对象中的当前用户ID相同，方法才能被调用。

@Secured

@Secured注解也是用来定义方法的安全约束，但是它不支持SpEL表达式，只能指定角色名称。如果用户没有满足注解内指定的角色之一，方法调用会被拒绝。

@Secured("ROLE_USER")
public void someUserMethod() {
    // 方法内容
}

你可以传递一个角色数组，如果用户具有列出的任何一个角色，那么他们可以访问方法：

@Secured({"ROLE_USER", "ROLE_ADMIN"})
public void methodForUsersAndAdmins() {
    // 方法内容
}

主要区别

1. 表达式支持：

   • @PreAuthorize可以使用SpEL表达式进行复杂的操作。
   • @Secured只能指定角色名称，不能使用表达式。

2. 使用灵活性：

   • @PreAuthorize更加灵活，能够实现复杂的安全规则。
   • @Secured更加简洁明了，适合简单的角色检查。

3. 配置：

   • 在Spring Security配置中启用@PreAuthorize时，你需要使用.prePostEnabled(true)。
   • 启用@Secured时使用.securedEnabled(true)。

举个例子，如果你想要在方法执行之前检查用户是否具有某个特定的权限，并且还要检查一些动态条件，@PreAuthorize会更适合这种复杂的场景。另一方面，如果你只需要简单地限制方法的访问到特定角色，那么使用@Secured可能更加合适和直接。