PreAuthorize

springsecurity中注解

package org.springframework.security.access.prepost;

/**
 * `@PreAuthorize`注解用于定义方法或类型（类或接口）的访问权限。它支持使用Spring表达式语言（SpEL）
 * 来指定执行注解方法或访问注解类的条件。
 */

// 指定这个注解可以应用于方法或类/接口。
@java.lang.annotation.Target({
    java.lang.annotation.ElementType.METHOD,  // 可以标注在方法上
    java.lang.annotation.ElementType.TYPE     // 也可以标注在类或接口上
})

// 指定注解的保留策略为运行时，意味着注解的信息在运行时依然可用。
@java.lang.annotation.Retention(java.lang.annotation.RetentionPolicy.RUNTIME)

// 如果一个超类被此注解标注，其子类也会继承该注解。
@java.lang.annotation.Inherited

// 表示注解类型将被javadoc工具记录，即注解信息将包含在生成的文档中。
@java.lang.annotation.Documented

public @interface PreAuthorize {
    // 声明一个SpEL表达式，该表达式在方法执行前评估，用来决定是否允许访问。
    // 如果表达式结果为true，则方法可以执行。
    java.lang.String value();
}

这个注解通常用于Spring Security框架中，用于对方法或类进行访问控制,这个注解非常适合用于需要根据用户的权限来限制访问特定功能的情况。例如，可以使用@PreAuthorize("hasRole('ADMIN')")来确保只有拥有ADMIN角色的用户才能访问某个方法。通过这种方式，可以在应用程序中实现细粒度的安全控制。

@PreAuthorize("hasAnyAuthority('blog:update:websiteInfo')")
public void updateWebsiteInfo() {// 这个方法只有拥有 'blog:update:websiteInfo' 权限的用户才能执行
}

详解

• @PreAuthorize: 这个注解用于在方法执行前进行安全性评估。只有当指定的 SpEL（Spring Expression Language）表达式评估为 true 时，才会执行方法。

• hasAnyAuthority: 这是 SpEL 支持的一个方法，用于检查当前用户是否拥有列出的任何权限。如果用户具有给定列表中的任一权限，则表达式返回 true。

• 参数 'blog:update

  ': 这是一个权限标识符，您需要在您的用户权限管理系统中定义这样的权限标识符，并授予相应用户此权限。

应用场景

使用 @PreAuthorize("hasAnyAuthority('...')") 特别适合那些需要根据用户权限动态允许或拒绝访问特定功能的应用。它使得安全策略的管理更为集中和声明式，简化了代码中的权限检查逻辑。

例如，在博客管理系统中，您可能希望只允许有权限的用户更新网站信息，此时通过 @PreAuthorize 注解可以很容易地实现这一点。

这种方式非常适合于企业级应用，它需要在业务逻辑层之外进行访问控制，确保只有拥有相应权限的用户才能执行敏感操作。

@Operation

@Operation(summary = "上传站长头像")

@Operation 是 OpenAPI 规范中的一个注解，它用于 Swagger 或 SpringDoc 开放 API 集成环境中，用来描述一个 API 操作的详细信息。这个注解通常用在 Spring Boot 应用的控制器方法上，以增加关于该方法的 API 文档信息，例如 API 的摘要、描述、标签等。这些信息有助于生成更加详细和有用的 API 文档，方便开发者和终端用户理解和使用 API

@Transactional

这是 Spring 提供的注解，用于声明该方法应在事务上下文中执行。这意味着在这个方法中执行的所有数据库操作要么全部成功，要么在遇到任何异常时全部回滚。这保证了数据库操作的原子性和一致性。

package org.springframework.transaction.annotation;/*** `@Transactional` 注解用于声明 Spring 管理的事务的界限。可应用于类或方法级别。* 在类级别，它将应用于类中的所有公共方法。* 在方法级别，它仅应用于标注的方法。*/// 指定注解可以用于类或方法。
@java.lang.annotation.Target({java.lang.annotation.ElementType.TYPE, java.lang.annotation.ElementType.METHOD})// 注解在运行时保持有效，这对于事务处理是必要的，因为 Spring 需要在运行时读取注解。
@java.lang.annotation.Retention(java.lang.annotation.RetentionPolicy.RUNTIME)// 允许注解被子类继承。
@java.lang.annotation.Inherited// 注解将被包括在生成的文档中。
@java.lang.annotation.Documented// 表明某些元素可能需要通过反射访问。
@org.springframework.aot.hint.annotation.Reflective
public @interface Transactional {// 指定用于管理事务的事务管理器的bean名称。@org.springframework.core.annotation.AliasFor("transactionManager")java.lang.String value() default "";// 别名，为 `value` 提供另一种表达方式。@org.springframework.core.annotation.AliasFor("value")java.lang.String transactionManager() default "";// 可用于标记事务的标签，帮助在监控或日志中区分事务。java.lang.String[] label() default {};// 定义事务的传播行为，默认为 `REQUIRED`。org.springframework.transaction.annotation.Propagation propagation() default org.springframework.transaction.annotation.Propagation.REQUIRED;// 定义事务的隔离级别，默认为数据库默认级别。org.springframework.transaction.annotation.Isolation isolation() default org.springframework.transaction.annotation.Isolation.DEFAULT;// 事务的超时时间，默认值为 -1，表示使用默认超时配置。int timeout() default -1;// 支持表达式的超时字符串，允许超时值动态配置。java.lang.String timeoutString() default "";// 标记事务是否为只读，这对于优化读取操作非常有用。boolean readOnly() default false;// 指定哪些异常类会触发事务回滚。java.lang.Class<? extends java.lang.Throwable>[] rollbackFor() default {};// 通过类名指定哪些异常会触发事务回滚。java.lang.String[] rollbackForClassName() default {};// 指定哪些异常类不会触发事务回滚。java.lang.Class<? extends java.lang.Throwable>[] noRollbackFor() default {};// 通过类名指定哪些异常不会触发事务回滚。java.lang.String[] noRollbackForClassName() default {};
}

注解允许开发者非常灵活地控制事务的行为，包括事务的传播行为、隔离级别、超时设置、只读状态和异常回滚条件。这些属性使得 @Transactional 成为管理 Spring 应用中数据一致性和完整性的强大工具。通过使用这个注解，开发者可以确保方法内的操作要么完全成功，要么在遇到问题时完全回滚，从而保护数据的完整性。