选项1-如果可以修改订单类别：
你可以申请 @PreAuthorize 上 Order#cancel() 方法，这样您就可以像 checkPolicy 并访问 order 反对 #this ):

class Order {
 //...
 @PreAuthorize("hasPermission(#this, T(fully.qualified.Context).Complaint)")
 fun cancel() {...}
}

如果你的 Context.Complaint 常量是一个字符串，可能它更易于读取，以放置字符串值（例如。 'complaint' ？）而不是 T(...Context).Complaint 在上面的spel表达式中。
选项2-如果无法修改订单类别：
您可以使用代理模式，即将调用 Package 到 order.cancel 在中间类/函数中，并在其上添加注解：

@Transactional
class MyApplicationService {
 fun cancelOrder(id: Long, principal: Principal) {
  val orderId = OrderId(id)
  // Proxy pattern - new intermediary class 
  val order = OrderSecProxy(orderRepository.findById(orderId))
  order.cancel()
 }
}

class OrderSecProxy(val order: Order) {
 @PreAuthorize("hasPermission(#this.order, T(fully.qualified.Context).Complaint)")
 fun cancel() {
  order.cancel()
 }
}

然后，您必须实现自定义permissionevaluator（spring security）：

class AbacPermissionEvaluator implements PermissionEvaluator {

    @Override
    public boolean hasPermission(Authentication authentication, Object targetDomainObject, Object permission) {
     log.info("check permission '{}' for user '{}' for target '{}'", permission, authentication.getPrincipal(), targetDomainObject)
     var principal = authentication.getPrincipal()
     // Make the authorization request to the PDP with subject attributes from principal, action attribute from permission and resource attributes from targetDomainObject
     // ...
     // return true if PDP's decision is Permit, else false.
    }
}

更多信息。
所以你应该得到 order 来自 targetDomainObject 论点但是，通过更改 @PreAuthorize 表达方式如下：
我假设order类至少有一些 id 属性，但可以有其他属性。
在选项1的情况下：

@PreAuthorize("hasPermission(T(java.util.Map).of('resource-id', #this.id), T(fully.qualified.Context).Complaint)")

在选择2的情况下：

@PreAuthorize("hasPermission(T(java.util.Map).of('resource-id', #this.order.id), T(fully.qualified.Context).Complaint)")

最后，在应用程序上下文中配置permissionevaluator：

<bean id="abacPermEvaluator" class="fully.qualified.AbacPermissionEvaluator">
    <!-- properties -->
</bean>

<security:global-method-security pre-post-annotations="enabled">
 <security:expression-handler>
  <bean class="org.springframework.security.access.expression.method.DefaultMethodSecurityExpressionHandler">
    <property name="permissionEvaluator" ref="abacPermEvaluator"/>
    <!-- other properties like permissionCacheOptimizer-->
  </bean>
 </security:expression-handler>
</security:global-method-security>

您可以像往常一样对注解进行相同的配置。