Spring Security: método no está garantizado con @PreAuthorize anotación

Question

me gustaría asegurar mi método en el bean de sesión gestionado por el papel específico "ROLE_ADMIN"

config (applicationContext-security.xml):

<global-method-security pre-post-annotations="enabled" jsr250-annotations="enabled" secured-annotations="enabled"/> 
    <http auto-config="true" use-expressions="true"> 
     <intercept-url pattern="/**" access="isAuthenticated()"/> 
     <intercept-url pattern="/**" access="permitAll()"/> 
     <form-login 
     login-processing-url="/j_spring_security_check" 
     login-page="/login.jsf" 
     default-target-url="/main.jsf" 
     authentication-failure-url="/login.jsf" /> 

    <session-management> 
      <concurrency-control max-sessions="1" error-if-maximum-exceeded="false" /> 
    </session-management> 
    </http> 


    <authentication-manager alias="authenticationManager"> 
     <authentication-provider> 
      <user-service> 
       <user name="admin" password="admin" authorities="ROLE_USER, ROLE_ADMIN" /> 
       <user name="user1" password="user1" authorities="ROLE_USER" /> 
      </user-service> 
     </authentication-provider> 
    </authentication-manager> 

    <beans:bean id="loggerListener" class="org.springframework.security.authentication.event.LoggerListener"/> 

frijol de método protegido:

@PreAuthorize("hasRole('ROLE_ADMIN')") 
    public String buy() { 
... 
    } 

Cuando me he registrado en menos de user1 o como anonym y haga clic en el botón "comprar" en la web- página, todavía se redirige a la página siguiente.

Espero que se haya producido alguna excepción de acceso denegado, y no es así.

Answer 1

Recuerde activar la seguridad de nivel de método en su applicationContext-security.xml:

<sec:global-method-security secured-annotations="enabled" /> 

Si, insted que va a utilizar antes o después de las anotaciones, utilice:

<security:global-method-security pre-post-annotations="enabled"/> 

Para más información sobre esto, ver:

http://forum.springsource.org/showthread.php?t=77862

Nota: Para la anotación s de jsr-250:

<sec:global-method-security jsr250-annotations="enabled" />