Java Spring security@PostAuthorize Anotion don'；有时候我工作不好

我正在使用Spring来确保java web应用程序的安全性。我对

get

方法使用

@PostAuthorize

注释，如下所示：

@Override
@Transactional
public MyEntity get(Serializable id)
{
   MyEntity record = dao.get(id);
   System.out.println(record.getId() + " : " + record.getName());
   return record;
}

<session-config>
     <session-timeout> 10 </session-timeout>
</session-config>

538 : MyEntity 2

接口：

@PreAuthorize("hasAuthority('get')")
@PostAuthorize("hasPermission(returnObject, 'read')")
MyEntity get(Serializable id);

而

get

实现方法如下：

@Override
@Transactional
public MyEntity get(Serializable id)
{
   MyEntity record = dao.get(id);
   System.out.println(record.getId() + " : " + record.getName());
   return record;
}

<session-config>
     <session-timeout> 10 </session-timeout>
</session-config>

538 : MyEntity 2

在

web.xml

中，我将sessionConfig设置如下：

@Override
@Transactional
public MyEntity get(Serializable id)
{
   MyEntity record = dao.get(id);
   System.out.println(record.getId() + " : " + record.getName());
   return record;
}

<session-config>
     <session-timeout> 10 </session-timeout>
</session-config>

538 : MyEntity 2

有什么问题

---

这是一个

spring security

bug？

不应该

@预授权（“hasAuthority（'get'）”）

在没有会话的情况下失败吗？用户登录后发送的所有请求，然后

@预授权（“hasAuthority（'get'）”）

不是问题。@zapl那里有一个JSSessionID，在两个请求中都是相同的，但是，在超时10秒和3分钟不活动的情况下，服务器不应该将该会话视为无效会话，因此不再授予您任何权限吗？会话id被发送到客户端。编辑：哎呀，10分钟。我误解了你的问题。超时不是10秒，而是10分钟。

@PreAuthorize（“hasAuthority（'get'）”）

不应该在没有会话的情况下失败吗？用户登录后发送的所有请求，然后

@PreAuthorize（“hasAuthority（'get'）”）

不是问题。@zapl那里有一个JSESSIONID，在两个请求中都是一样的，但是，在超时10秒和3分钟不活动的情况下，服务器不应该将该会话视为无效会话，因此不再授予您任何权限吗？会话id被发送到客户端。编辑：哎呀，10分钟。我误解了你的问题。超时不是10秒，而是10分钟。