**1. `@Secured`** ```java /** * 1. @Secured注解參數必須以ROLE_為前綴。 * 2. 當前用戶有role001，或管理員002 權限時才能訪問/account/list05。 * 3. 使用@Secured注解需要在啟動類上標記注解@EnableGlobalMethodSecurity(securedEnabled=true)， * 并將securedEnabled設置為true */ @RequestMapping("/account/list05") @Secured({"ROLE_role001", "ROLE_管理員002"}) public String list05() { System.out.println("list05"); return "list05"; } ``` **2. `@PreAuthorize`** ```java /** * 1. @PreAuthorize注解適合進入方法前的權限驗證，它可以將登錄用戶的角色/權限參數傳遞到hasxxx方法中， * hasAuthority、hasAnyAuthority、hasRole、hasAnyRole、hasPermission。 * 2. 當前用戶有role001，或管理員002 權限時才能訪問/account/list06。 * 3. 使用@PreAuthorize注解需要在啟動類上標記注解@EnableGlobalMethodSecurity(prePostEnabled = true)， * 并將prePostEnabled設置為true */ @RequestMapping("/account/list06") @PreAuthorize("hasAnyRole('ROLE_role001', 'ROLE_管理員002')") public String list06() { System.out.println("list06"); return "list06"; } ``` **3. `@PostAuthorize`** ```java /** * 1. @PostAuthorize注解在方法list07執行后再進行權限驗證，適合驗證帶有返回值的權限。 * 2. 當前用戶沒有admin001和管理員002 權限時方法會被執行，但是到前端時會顯示403頁面。 * 3. 使用@PreAuthorize注解需要在啟動類上標記注解@EnableGlobalMethodSecurity(prePostEnabled = true)， * 并將prePostEnabled設置為true */ @RequestMapping("/account/list07") @PostAuthorize("hasAnyAuthority('admin001', '管理員002')") public String list07() { System.out.println("list07"); return "list07"; } ``` **4. `@PostFilter`** ```java /** * 1. @PostFilter注解在權限驗證之后對數據進行過濾，傳遞到前端的數據只有用戶名是 lisi 的數據。 * 2. 表達式中的 filterObject 引用的是list08方法返回值 List 中的某一個元素。 * 3. 使用@PostFilter注解需要在啟動類上標記注解@EnableGlobalMethodSecurity(prePostEnabled = true)， * 并將prePostEnabled設置為true */ @RequestMapping("/account/list08") @PreAuthorize("hasRole('ROLE_role001')") @PostFilter("filterObject.username == 'lisi'") public List<Account> list08() { List<Account> list = new ArrayList<>(1); list.add(Account.builder().username("zhangsan").build()); list.add(Account.builder().username("lisi").build()); System.out.println(list); return list; } ``` **5. `@PreFilter`** ```java /** * 1. @PreFilter注解在權限驗證后，對方法參數list進行過濾。 * 2. 當前端傳遞多條數據時，進入到方法里面的數據不會有username=lisi的數據。 * 3. 使用@PreFilter注解需要在啟動類上標記注解@EnableGlobalMethodSecurity(prePostEnabled = true)， * 并將prePostEnabled設置為true */ @RequestMapping("/account/list09") @PreAuthorize("hasRole('ROLE_role001')") @PreFilter(value = "filterObject.username !='lisi'") public List<Account> list09(@RequestBody List<Account> list) { System.out.println(list); return list; } ``` **** 更多注解表達式參考官網：https://docs.spring.io/spring-security/site/docs/5.3.4.RELEASE/reference/html5/#el-access