@PreAuthorize Annotation funktioniert nicht mit Federsicherheit

Wenn Sie die XML-Konfiguration verwenden, vergessen Sie nicht, das folgende Attribut hinzuzufügen:

<s:global-method-security pre-post-annotations="enabled"/>

Wenn Sie Java Configuration verwenden, vergessen Sie nicht, die folgende Anmerkung hinzuzufügen:

@EnableGlobalMethodSecurity(prePostEnabled = true)

Ich stand vor demselben Problem. Mein Problem wurde behoben, als ich das untere Element von applicationContext.xml in * -servlet.xml (die Konfigurations-XML meines Dispatchers) verschoben habe. 

<security:global-method-security secured-annotations="enabled"/>

Sie müssen dieses Element in die XML-Datei Ihres dispatchers aufnehmen, NICHT in die XML-Datei Ihrer Anwendung.
Frühling FAQ

Ich hatte das gleiche Problem mit Annotationen, das Problem war, dass sich in meinem Controller keine @Controller Annotation befand.

So wie es scheint, brauchen Sie:

• Diese Anmerkungen in Ihrer Spring Security-Konfiguration:

  @Configuration
  @EnableWebSecurity
  @EnableGlobalMethodSecurity(prePostEnabled = true)
  

• Diese Anmerkungen in Ihrem Controller:

  @Controller
  public class ServiceRS {
  
      @RequestMapping(value = "/admin", method = RequestMethod.GET)
      @PreAuthorize("hasAuthority('ROLE_ADMIN')")
      public void wsAdmin() {
          [...]
      }
  }
  

Wenn Sie weiterhin Probleme haben, können Sie dies Ihrer log4j2-Konfiguration hinzufügen:

    <Logger name="org.springframework.security" level="trace" additivity="false">
        <AppenderRef ref="Console" />
        <AppenderRef ref="RollingRandomAccessFile" />
    </Logger>

Sie sehen in Protokollen, ob Ihre Anmerkungen von Spring berücksichtigt werden:

TRACE org.springframework.security.access.prepost.PrePostAnnotationSecurityMetadataSource {} [main] Looking for Pre/Post annotations for method 'wsAdmin' on target class '***.ServiceRS' 
DEBUG org.springframework.security.access.prepost.PrePostAnnotationSecurityMetadataSource {} [main] @org.springframework.security.access.prepost.PreAuthorize(value=hasAuthority('ROLE_ADMIN')) found on specific method: public void ***.ServiceRS.wsAdmin() 
DEBUG org.springframework.security.access.method.DelegatingMethodSecurityMetadataSource {} [main] Caching method [CacheKey[***.ServiceRS; public void ***.ServiceRS.wsAdmin()]] with attributes [[authorize: 'hasAuthority('ROLE_ADMIN')', filter: 'null', filterTarget: 'null']] 

Natürlich können Sie auch in org.springframework.security.access.expression.SecurityExpressionRoot - Haltepunkte hinzufügen, um zu sehen, ob ein Aufruf mit der Bedingung in Ihrer Anmerkung erfolgt.

Grüße.

Versuchen Sie es mit @Secured Annotation.

Dann hast du es

@Secured("ROLE_ADMIN")
@RequestMapping(value="/delete", method = RequestMethod.GET)
public String DeleteAll(ModelMap model, Principal principal ) {

  ...

}

Hier ist ein ausführlicher Blogbeitrag dazu .

Keine der obigen Antworten hat für mich funktioniert. Ich musste den Weg des Sicherheitsdekorators hinzufügen. 

Dekorateure werden in Beans in Datei servlet-context.xml platziert.

Fügen Sie zunächst dem XML-Namespace ein Sicherheitsschema hinzu:

<beans:beans xmlns="http://www.springframework.org/schema/mvc"
...
xmlns:security="http://www.springframework.org/schema/security"
xsi:schemaLocation="http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-3.1.xsd">

Dann wenden Sie den Dekorator auf die Implementierung der Service-Bean an.

<beans:bean id="myService" class="my.service.impl.MyServiceImpl" scope="request">
    <security:intercept-methods>
        <security:protect access="ROLE_USER" method="get*"/>
        <security:protect access="ROLE_ADMIN" method="set*"/>
    </security:intercept-methods>
</beans:bean>

Das könnte Ihnen helfen: 

<security:global-method-security secured-annotations="enabled" proxy-target-class="true"/>

Grüße.

Dieses Problem tritt auf, wenn Servlet 3 mit Web Async Support verwendet wird. Spring Security 3.1.4 und niedriger verlieren ihren Sicherheitskontext, sobald die anonyme Methode der Callable-Methode aktiviert wird. 

Ein Upgrade von Spring Security auf 3.2.0 RC1 wird Ihre Probleme lösen.

Maven-Abhängigkeit:

<dependencies>
    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-web</artifactId>
        <version>3.2.0.RC1</version>
    </dependency>
    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-config</artifactId>
        <version>3.2.0.RC1</version>
    </dependency>
</dependencies>

<repositories>
    <repository>
        <id>spring-milestones</id>
        <name>Spring Milestones</name>
        <url>http://repo.spring.io/milestone</url>
        <snapshots>
            <enabled>false</enabled>
        </snapshots>
    </repository>
</repositories>
<repositories>
    <repository>
        <id>spring-milestones</id>
        <name>Spring Milestones</name>
        <url>http://repo.spring.io/milestone</url>
        <snapshots>
            <enabled>false</enabled>
        </snapshots>
    </repository>
</repositories>

unter dem Tag in einer anderen Federkonfigurationsdatei einfügen, nicht in der Federkonfigurationsdatei.

Ich bekam auch den gleichen Fehler.

<security:global-method-security secured-annotations="enabled" proxy-target-class="true"/>