Spring Securityの@PreAuthorizeと@PostAuthorizeでメソッド認可を実装する方法を初心者向けに解説

メソッドレベルの認可：@PreAuthorize／@PostAuthorize の使い方

先生と生徒の会話形式で理解しよう

生徒

「Spring Securityでメソッド単位にアクセス制御をかけるにはどうすればいいですか？」

先生

「Spring Securityでは、@PreAuthorizeや@PostAuthorizeというアノテーションを使って、メソッドごとに認可ルールを定義できますよ。」

生徒

「コントローラーだけでなく、サービスクラスにも書けるんですか？」

先生

「そのとおりです。Spring Securityのグローバルメソッドセキュリティを有効にすれば、任意のクラスの任意のメソッドに適用できますよ。実際の使い方を見ていきましょう！」

1. メソッドレベルの認可とは？

Spring Securityでは、リクエスト単位のURL認可だけでなく、特定のメソッドに対して個別にアクセス制御を設定することができます。これを「メソッドレベルの認可」と呼びます。

代表的なアノテーションは以下の2つです。

@PreAuthorize：メソッド実行前に認可判定を行う
@PostAuthorize：メソッド実行後に結果に応じて認可判定を行う

このような細かな制御を実現することで、より安全で柔軟なセキュリティ設計が可能になります。

2. グローバルメソッドセキュリティの有効化

@PreAuthorizeや@PostAuthorizeを使うためには、Spring Securityの設定クラスで明示的に「グローバルメソッドセキュリティ」を有効にする必要があります。


@EnableGlobalMethodSecurity(prePostEnabled = true)
@Configuration
public class SecurityConfig {
    // セキュリティ設定
}

この設定を入れることで、@PreAuthorizeなどのアノテーションが有効に機能するようになります。

3. @PreAuthorizeの基本的な使い方

@PreAuthorizeはメソッドの実行前に権限やロールをチェックします。たとえば、「管理者のみアクセス可能」にするには以下のように記述します。


@PreAuthorize("hasRole('ADMIN')")
public void deleteUser(Long id) {
    // ユーザー削除処理
}

hasRoleの他にも、hasAuthorityやauthenticationオブジェクトを使った判定も可能です。

4. @PostAuthorizeの使い方と用途

@PostAuthorizeは、メソッドの実行後に戻り値を見てアクセスを許可するかを判断します。

たとえば、自分が作成したデータだけを表示できるようにする場合などに便利です。


@PostAuthorize("returnObject.owner == authentication.name")
public Document getDocument(Long id) {
    return documentRepository.findById(id);
}

returnObjectはメソッドの戻り値を意味し、そこに含まれるプロパティとログインユーザー名を比較することができます。

5. 認可条件に使える式の種類

Spring Securityでは、SpEL（Spring Expression Language）を使って柔軟な認可条件を記述できます。以下はよく使われる式です。

hasRole('USER')：指定ロールを持つユーザー
hasAuthority('READ_PRIVILEGE')：指定権限を持つユーザー
authentication.name == #username：引数との一致確認
#id == principal.id：ログインユーザー自身かどうか

このような式を使って、メソッド単位に細かいアクセス制御を設けることができます。

6. コントローラーだけでなくサービス層にも使える

これらのアノテーションは、Spring MVCのコントローラーだけでなく、サービス層やリポジトリ層など任意のSpring管理クラスにも適用できます。

これにより、アプリケーションの中核ロジックにもセキュリティを直接組み込むことができ、セキュリティホールを防ぎやすくなります。

7. よくあるエラーと対処法

@PreAuthorizeや@PostAuthorizeを使っていて、アクセス制御が効かないときは次のような原因が考えられます。

@EnableGlobalMethodSecurityの記述がない
Springの@Componentスキャン対象外のクラスに付けている
戻り値がnullの場合に@PostAuthorizeが機能しない

設定漏れやBean定義の確認など、エラーログを手がかりに丁寧にチェックしましょう。

8. 認可失敗時の動作をカスタマイズしたい場合

メソッドレベルでの認可に失敗すると、Spring SecurityはAccessDeniedExceptionをスローします。

この例外をカスタムハンドラーで処理することで、認可失敗時の挙動（エラーページ表示など）を自由に設定できます。


@Component
public class CustomAccessDeniedHandler implements AccessDeniedHandler {
    @Override
    public void handle(HttpServletRequest request,
                       HttpServletResponse response,
                       AccessDeniedException accessDeniedException)
                       throws IOException, ServletException {
        response.sendRedirect("/access-denied");
    }
}

9. フロント画面にメソッド認可の結果を表示するには？

メソッド認可によって制限された場合、ユーザーに理由を表示することでUXを向上できます。たとえば、HTMLでエラーメッセージを表示する方法は次のようになります。


<div th:if="${param.accessDenied}">
    <p class="text-danger">この操作を実行する権限がありません。</p>
</div>

Spring SecurityのAccessDeniedHandlerを活用して、リダイレクト先に?accessDenied=trueのようなパラメータを付ければ、このような表示が可能になります。

まとめ

Spring Securityメソッド認可の総まとめ

本記事ではSpring Securityにおけるメソッドレベルの認可についてPreAuthorizeとPostAuthorizeを中心に詳しく解説してきました。Webアプリケーション開発においてセキュリティは最も重要な要素の一つであり特にユーザーごとの権限管理やアクセス制御を正確に実装することはシステム全体の信頼性に直結します。Spring Securityはそのための強力なフレームワークでありURL単位だけでなくメソッド単位で細かく認可制御を行える点が大きな特徴です。

PreAuthorizeはメソッド実行前に認可判定を行いPostAuthorizeはメソッド実行後に戻り値を含めて判定を行うという違いがあります。この二つを使い分けることで単純なロールチェックだけでなくログインユーザーとデータの所有者を比較するような高度なアクセス制御を実現できます。これにより実務で求められる細かな権限管理にも柔軟に対応することが可能になります。

実務で役立つ設計ポイント

実務でSpring Securityのメソッド認可を利用する場合にはいくつかの重要な設計ポイントがあります。まずグローバルメソッドセキュリティを有効化する設定を忘れないことが前提となります。この設定がない場合PreAuthorizeやPostAuthorizeは機能しません。また認可ロジックはコントローラーだけでなくサービス層にも適用することでより安全な設計になります。

次にSpELを活用した認可条件の記述です。hasRoleやhasAuthorityだけでなくauthenticationやprincipalオブジェクトを使うことでログインユーザー情報と引数や戻り値を組み合わせた高度な判定が可能になります。これにより例えば自分が作成したデータのみ閲覧可能といった制御を簡潔に記述できます。

さらに認可失敗時の例外処理も重要です。AccessDeniedExceptionを適切にハンドリングしユーザーに分かりやすい画面を表示することでユーザー体験を向上させることができます。エラーページの設計やリダイレクト処理も含めてセキュリティ設計の一部として考えることが大切です。

サンプルコードで振り返るメソッド認可

ここでPreAuthorizeとPostAuthorizeの基本的な使い方を改めてサンプルコードで確認してみましょう。サービスクラスに対してメソッド単位で認可を設定する例です。


@Service
public class UserService {

    @PreAuthorize("hasRole('ADMIN')")
    public void deleteUser(Long id) {
        System.out.println("ユーザー削除処理を実行");
    }

    @PostAuthorize("returnObject.owner == authentication.name")
    public Document getDocument(Long id) {

        Document doc = new Document();
        doc.setOwner("user1");
        return doc;
    }
}

実行イメージ


管理者ユーザーでアクセス → 削除処理成功
一般ユーザーでアクセス → アクセス拒否
所有者一致 → データ取得成功
所有者不一致 → アクセス拒否

このようにSpring Securityのメソッド認可を活用することでシステムの内部ロジックに直接セキュリティを組み込むことができます。これによりURL単位の制御では防げない不正アクセスを防止することが可能になります。

応用的な活用と注意点

実務では単純なロールチェックだけでなく複数条件を組み合わせた認可が求められることが多くあります。例えば特定のロールを持ちかつ自身のデータである場合のみ許可するなどの条件です。SpELを活用すればこれらの条件を一つのアノテーションで表現することができます。

一方でメソッド認可は処理の可読性にも影響するため複雑になりすぎないように注意が必要です。共通ロジックはサービス層にまとめるなど設計を工夫することで保守性を維持することが重要です。またテストコードを用意して認可ルールが正しく動作しているかを確認することも欠かせません。

Spring BootとSpring Securityを組み合わせた開発では今回学んだメソッド認可の仕組みを理解しておくことで安全で拡張性の高いアプリケーションを構築することができます。初心者の方はまず基本的な使い方を確実に理解し徐々に応用的なパターンへとステップアップしていきましょう。

先生と生徒の振り返り会話

生徒

Spring Securityでメソッド単位の認可ができる仕組みがよく分かりました。PreAuthorizeとPostAuthorizeの違いも理解できました。

先生

良いですね。実務ではこの二つを使い分けることで柔軟なアクセス制御が実現できます。

生徒

サービス層にも書けるというのが意外でした。コントローラーだけではないんですね。

先生

はい。むしろサービス層に書くことでセキュリティをより強固にできます。ロジックの中心で制御することが重要です。

生徒

SpELを使うと細かい条件も書けるので便利ですね。

先生

その通りです。ただし複雑になりすぎないように設計することも大切です。

生徒

認可失敗時の処理も含めて考える必要があると分かりました。

先生

はい。ユーザーに分かりやすく伝えることも重要です。今回学んだ内容は実務でも必ず役立つのでしっかり身につけておきましょう。

生成AIを基礎から学びたい方へ

ChatGPTなどの生成AIをこれから学びたい方に向けて、AIスキルアカデミーの口コミ・評判、料金、無料セミナーの内容を詳しくまとめています。

AIスキルアカデミーの口コミ・評判を詳しく見る

スタースクール：社会人向け実務教育プロジェクト

【職業訓練講師が直接指導】

社会人向けSpring Boot実務セミナー｜職業訓練講師が教えるWebシステム構築の極意

Java入門からSpring Boot実務まで。現場で絶賛される「設計の型」を最短距離で習得。

技術記事の内容を、自分の「スキル」へ変える。

職業訓練講師が最短攻略！社会人向けSpring Bootによる「商用Webシステム構築」の実践。

モダンJava開発の事実上の標準Spring Boot。本セミナーでは、その圧倒的利便性の核にある「DI（依存性の注入）」を完全解剖。「設定より規約」を体現した効率的なアーキテクチャ設計を学び、ThymeleafやSpring Data JPAを組み合わせた、現場で必須となるWebシステムの作り方を60分で濃縮体験します。