#phan-quyen

Người dùng vai USER gọi được phương thức @PreAuthorize("hasRole('ADMIN')") — chỉ cần gọi vòng qua chính lớp đó

401 khác 403 đo được, luật theo HTTP method, @PreAuthorize và @PostAuthorize chạy thật, và lỗ hổng do proxy.