스프링 시큐리티는 @PreAuthorize, @Secured 등의 애노테이션을 AOP 방식으로 적용된다?

[YuDeokRin]

🧩 핵심 개념 요약

애노테이션	설명	작동 시점
@PreAuthorize	메서드 실행 전에 SpEL을 이용한 권한 체크	Before Advice
@PostAuthorize	메서드 실행 후에 결과 기반 권한 체크	After Advice
@secured	특정 Role 보유 여부 검사	Before Advice (간단한 Role 기반)

⚙️ 동작 방식: AOP 기반 프록시

스프링이 @EnableGlobalMethodSecurity(prePostEnabled = true) 를 통해 MethodSecurityInterceptor 라는 AOP Advice를 생성
해당 애노테이션이 붙은 메서드는 프록시 객체로 감싸짐
메서드 호출 전에 권한을 평가하고, 조건이 안 맞으면 예외 발생 (AccessDeniedException)

🔐 예제: @PreAuthorize

@service
public class AccountService {

@PreAuthorize("hasRole('ADMIN')")
public void deleteAccount(Long accountId) {
    // 관리자만 이 메서드를 호출할 수 있음
}

@PreAuthorize("#username == authentication.name")
public void updateProfile(String username) {
    // 로그인한 사용자 본인만 수정 가능
}

}
authentication.name: 현재 인증된 사용자명
#username: 메서드 파라미터

⚠️ 주의사항

@PreAuthorize는 반드시 프록시가 생성될 수 있는 위치에 선언해야 동작해요.
같은 클래스 내부 호출은 프록시를 우회해서 동작하지 않음
인터페이스 기반이면 JDK 프록시, 클래스 기반이면 CGLIB 프록시 사용

@EnableMethodSecurity (Spring Security 6.x) 로 바뀜 — 최신 버전에서는 이렇게 설정:
@Configuration
@EnableMethodSecurity
public class SecurityConfig {

}

💬 쉽게 말하면?

"스프링 시큐리티는 우리가 직접 AOP Aspect를 짜지 않아도, 알아서 메서드 호출 전에 권한을 체크하는 프록시를 만들어주는 것!"