@PreAuthorize проверяет права перед вызовом метода выражением SpEL: роли, authorities, параметры метода и вызовы бинов — например, владение ресурсом. Включается @EnableMethodSecurity.
sotto@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")А ещё В Spring Security 6 — @EnableMethodSecurity вместо @EnableGlobalMethodSecurity
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
Зачем: правила по URL грубые; часто право зависит от данных — «менять заказ может владелец или менеджер». @PreAuthorize на методе сервиса проверяет это рядом с бизнес-операцией, независимо от того, откуда метод вызван (REST, очередь, планировщик).
Выражения SpEL:
hasRole('ADMIN'), hasAuthority('orders:write'), isAuthenticated();#orderId, #request.ownerId;authentication.name, principal;@orderSecurity.canEdit(#orderId, authentication) — сложная логика в отдельном бине.@PreAuthorize("hasRole('MANAGER') or @orderSecurity.isOwner(#id, authentication)")
public Order update(long id, OrderPatch patch) { ... }Включение: @EnableMethodSecurity (Spring Security 6; prePostEnabled по умолчанию true).
Ограничения: реализовано прокси — вызов изнутри того же класса проверку обходит; проверка «владения» через отдельный запрос к базе дублирует загрузку — иногда проще выборка с фильтром по владельцу. @PostAuthorize("returnObject.ownerId == authentication.name") проверяет уже загруженный результат.
Один верный вариант. Подумайте, потом откройте ответ.
Структура и валидация JWT, проблема отзыва, роли OAuth2 и authorization code flow, OIDC, и авторизация на уровне методов.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.