在服务层或控制器层添加@PreAuthorize？

Question

我想知道在Spring Security中应用安全约束的建议方法是什么？ 我已经读过你应该保护你的服务层，这就是我所做的。现在，看着我的控制器，我有一些问题。

1. 在控制器层中没有授权注释是否正确？
2. 控制器层是否仅使用XML应用程序上下文中的intercept-url元素以粗粒度方式授权？
3. 如果您仅指定ROLE_USER作为应用的intercept-url元素中的最小角色。然后你指定服务层中的某个方法需要ROLE_ADMIN，然后你可能允许控制器中的一些代码执行，因为admin约束不是控制器方法中的第一件事。 但是，如果对上述问题的假设是正确的，那么它就不会成为问题，因为您无论如何都已在XML中的特定端点上设置了管理员角色。