@PreAuthorize()로 메서드를 실행하기 전에 권한 검사를 하자

@PreAuthorize()는 메서드를 실행하기 전에 하는 권한 검사

@PostAuthorize()는 메서드를 실행하고 클라이언트에게 응답을 하기 직전에 하는 권한 검사

라는 차이점을 가지고 있다.

 

• hasRole([role]) : 현재 사용자의 권한이 파라미터의 권한과 동일한 경우 true
• hasAnyRole([role1,role2]) : 현재 사용자의 권한디 파라미터의 권한 중 일치하는 것이 있는 경우 true
• principal : 사용자를 증명하는 주요객체(User)를 직접 접근할 수 있다.
• authentication : SecurityContext에 있는 authentication 객체에 접근 할 수 있다.
• permitAll : 모든 접근 허용
• denyAll : 모든 접근 비허용
• isAnonymous() : 현재 사용자가 익명(비로그인)인 상태인 경우 true
• isRememberMe() : 현재 사용자가 RememberMe 사용자라면 true
• isAuthenticated() : 현재 사용자가 익명이 아니라면 (로그인 상태라면) true
• isFullyAuthenticated() : 현재 사용자가 익명이거나 RememberMe 사용자가 아니라면 true

@PreAuthorize() 애너테이션과 위 익스프레션들을 조합하여 권한 검사를 할 수 있다.

@PreAuthorize("isAnonymous()")

위와 같이 익명인 경우에만 접근을 허용하는 회원가입 url 등에 대해 적용할 수도 있다.

 

출처: https://steemit.com/kr-dev/@igna84/spring-security-preauthorize-postauthorize