Использование статических переменных в аннотациях Spring

Попробуйте следующее, которое использует язык выражений Spring для оценки типа:

@PreAuthorize("hasRole(T(fully.qualified.OtherClass).ROLE)");

Обязательно укажите полное имя класса.

Документация

Чтобы можно было писать выражения без имен пакетов:

<sec:global-method-security>
    <sec:expression-handler ref="methodSecurityExpressionHandler"/>
</sec:global-method-security>

<bean id="methodSecurityExpressionHandler" class="my.example.DefaultMethodSecurityExpressionHandler"/>

Затем расширьте DefaultMethodSecurityExpressionHandler:

public class DefaultMethodSecurityExpressionHandler extends org.springframework.security.access.expression.method.DefaultMethodSecurityExpressionHandler {

    @Override
    public StandardEvaluationContext createEvaluationContextInternal(final Authentication auth, final MethodInvocation mi) {
        StandardEvaluationContext standardEvaluationContext = super.createEvaluationContextInternal(auth, mi);
        ((StandardTypeLocator) standardEvaluationContext.getTypeLocator()).registerImport("my.example");
        return standardEvaluationContext;
    }
}

Теперь создайте my.example.Roles.java :

public class Roles {

    public static final String ROLE_UNAUTHENTICATED = "ROLE_UNAUTHENTICATED";

    public static final String ROLE_AUTHENTICATED = "ROLE_AUTHENTICATED";
}

И ссылайтесь на него без имени пакета в аннотациях:

@PreAuthorize("hasRole(T(Roles).ROLE_AUTHENTICATED)")

вместо:

@PreAuthorize("hasRole(T(my.example.Roles).ROLE_AUTHENTICATED)")

Делает его более читабельным имхо. Также теперь набираются роли. Писать:

@PreAuthorize("hasRole(T(Roles).ROLE_AUTHENTICATEDDDD)")

и вы получите ошибки запуска, которых не было бы, если бы вы написали:

    @PreAuthorize("hasRole('ROLE_AUTHENTICATEDDDD')")

Вы также можете создать bean-контейнер с ролями, например:

@Component("R")
public final class RoleContainer {
  public static final String ROLE_A = "ROLE_A";
}

затем на контроллере вы можете использовать:

@PreAuthorize("hasRole(@R.ROLE_A)")

Принятый ответ от Кевина Бауэрсокса работает, но мне не нравился материал T (full.qualified.path), поэтому я продолжал искать. Я начал с создания пользовательского метода безопасности, используя ответ Джеймса Уоткинса здесь:

Как создать собственные методы для использования в аннотациях языка выражений безопасности spring

Однако вместо String я использовал свой класс enums.Permissions в качестве типа параметра:

@Component
public class MySecurityService {
    public boolean hasPermission(enums.Permissions permission) {

        ...do some work here...

        return true;
    }
}

Теперь интересная часть заключается в том, что когда я вызываю hasPermission из аннотации, мне не нужно вводить весь путь, но я должен заключать его в одинарные кавычки:

@PreAuthorize("@mySecurityService.hasPermission('SOME_ROLE_NAME')")

Поскольку метод hasPermission ожидает Enum, он автоматически найдет значение Enum с этим именем. Если он не найдет его, вы получите исключение:

org.springframework.expression.spel.SpelEvaluationException: Type conversion problem, cannot convert from java.lang.String to enums.Permissions

Вы можете переименовать hasPermission в hasRole, и в этом случае единственный компромисс заключается в том, что вы обмениваете T(full.qualified.path) на @mySecurityService и дополнительные одинарные кавычки.

Не уверен, что он лучше, но он есть. Так как ничто из этого в любом случае не будет проверять значения во время компиляции, моим следующим шагом будет создание процессора аннотаций.

Я также должен отдать должное krosenvold за то, что он указал, что spring может автоматически преобразовываться в перечисление: https://stackoverflow.com/a/516899/618881

Попробуйте что-то вроде этого:

@PreAuthorize("hasRole(T(com.company.enumpackage.OtherClass).ROLE.name())");

Если ваше перечисление OtherClass объявлено как общедоступное статическое, вам нужно использовать знак $:

@PreAuthorize("hasRole(T(com.company.ParentTopLevelClass$OtherClass).ROLE.name())");

name() для предотвращения проблем в будущем, если toString() будет переопределен позже