如何使用@PreAuthorize

`@PreAuthorize`是Spring Security提供的一个注解，用于在方法级别做安全预检查，即在方法执行之前进行权限验证。如果你想确保某个方法只有经过认证并且拥有特定权限的用户才能访问，可以这样做：

1. **在方法上添加注解**：

@PostMapping("/someEndpoint")
@PreAuthorize("hasRole('ADMIN')")
public ResponseEntity<?> handleRequest(@RequestBody YourRequest request) {
    //...
}

这里的`hasRole('ADMIN')`是一个简单的权限表达式，表示只有角色为"ADMIN"的用户才能访问此方法。

2. **使用自定义权限检查**：

@PreAuthorize("#user.isAdmin()")
public void customPermissionCheck(User user) {
    //...
}

这里使用了SpEL（Spring Expression Language）表达式，`#user.isAdmin()`检查当前用户的admin属性是否为true。

3. **动态权限判断**：

@PreAuthorize("hasPermission(#id, 'read')")
public YourEntity readYourEntity(@PathVariable Long id) {
    //...
}

这种方式可以根据传入的参数（如ID）动态判断权限。

4. **异常处理**：
如果不满足`@PreAuthorize`条件，Spring Security会抛出`AccessDeniedException`，你可以选择捕获并返回合适的错误响应，或配置全局的访问决策管理。