@PreAuthorize与@Secured注解的区别是什么？
@PreAuthorize和@Secured都是Spring Security中的注解，它们用于方法安全，即定义哪些用户有权限调用特定的方法。尽管它们的目的相同，但是它们提供了不同的功能和表达方式。
@PreAuthorize
@PreAuthorize注解在方法调用之前进行安全检查，它支持Spring Expression Language (SpEL)表达式，这使得你可以编写更复杂的安全条件。
例如，你可以检查用户是否拥有特定的角色：
@PreAuthorize("hasRole('ROLE_USER')")
public void methodOnlyForUsers() {// 方法内容
}
或者更复杂的条件，比如基于方法参数的动态安全表达式：
@PreAuthorize("#userId == authentication.principal.id")
public void methodForSpecificUser(Long userId) {// 方法内容
}
在上面的例子中，只有当方法参数userId与认证对象中的当前用户ID相同，方法才能被调用。
@Secured
@Secured注解也是用来定义方法的安全约束，但是它不支持SpEL表达式，只能指定角色名称。如果用户没有满足注解内指定的角色之一，方法调用会被拒绝。
@Secured("ROLE_USER")
public void someUserMethod() {// 方法内容
}
你可以传递一个角色数组，如果用户具有列出的任何一个角色，那么他们可以访问方法：
@Secured({"ROLE_USER", "ROLE_ADMIN"})
public void methodForUsersAndAdmins() {// 方法内容
}
主要区别
-
表达式支持：
@PreAuthorize可以使用SpEL表达式进行复杂的操作。@Secured只能指定角色名称，不能使用表达式。
-
使用灵活性：
@PreAuthorize更加灵活，能够实现复杂的安全规则。@Secured更加简洁明了，适合简单的角色检查。
-
配置：
- 在Spring Security配置中启用
@PreAuthorize时，你需要使用.prePostEnabled(true)。 - 启用
@Secured时使用.securedEnabled(true)。
- 在Spring Security配置中启用
举个例子，如果你想要在方法执行之前检查用户是否具有某个特定的权限，并且还要检查一些动态条件，@PreAuthorize会更适合这种复杂的场景。另一方面，如果你只需要简单地限制方法的访问到特定角色，那么使用@Secured可能更加合适和直接。