@PostAuthorize和@PostFilter通常与ACL结合使用。@PostAuthorize会在返回一些没有访问权限的对象时生成异常，而@PostFilter会删除没有访问权限的对象（通常在返回元素集合时很有用）。

@PostFilter在执行方法后过滤返回的集合或数组。Spring security提供了一个名为filterObject的内置对象，@PostFilter在该对象上执行过滤任务。
@PostFilter可以与@PreAuthorize和@PostAuthorize一起在服务层上使用。
使用接口声明过滤器操作。

public interface IBookService {

    @PreAuthorize ("hasRole('ROLE_READ')")
    @PostFilter ("filterObject.owner == authentication.name")
    public List<Book> getBooks();
    
    @PreAuthorize("filterObject.owner == authentication.name")
    public void addBook(List<Book> books);

}