Spring Security權限控制系列（六）

作者：Spring全家桶實戰案例 2022-08-30 08:55:49

開發架構

Spring Security還提供了基于訪問注解的方式細化接口權限的控制定義，接下來使用基于注解的方式控制Controller接口權限。

環境：Springboot2.4.12 + Spring Security 5.4.9

本篇主要內容：

業務接口權限認證

上一篇：《??Spring Security權限控制系列（五）??》

演示案例

有如下接口：

@RestController
@RequestMapping("/business")
public class BussinessController {
  @GetMapping("/{id}")
  public Object get(@PathVariable("id") Integer id) {
    return "receive - " + id ;
  }
}

安全配置：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable() ;
    http.authorizeRequests().antMatchers("/resources/**", "/cache/**", "/process/login").permitAll() ;
    http.authorizeRequests().antMatchers("/demos/**").hasRole("USERS") ;
    http.authorizeRequests().antMatchers("/api/**").hasRole("ADMIN") ;
    // 上面的配置都是基于之前的文章，這里我們不需要關心，僅僅看下面這個接口配置接口
    // 這里我們會要求所有以/business開始的所有請求
    http.authorizeRequests().antMatchers("/business/**").authenticated() ;
  }
}

有了上面的配置，啟動服務訪問http://localhost:8080/business/100接口時會要求登錄，只要登錄成功，接口就可以訪問。

這里我不希望通過如下方式進行的權限設置：

// hasRole("xxx")  或 hasAuthority("xxxx")
http.authorizeRequests().antMatchers("/business/**").hasRole("xxx")

這種寫法限定了所有的/business開頭的請求都由于固定的權限，/business可能會有很多的子接口，每種子接口可能我們都需要定義不同的權限才可訪問，這時候如果在通過上面的方式配置就太繁瑣了。Spring Security還提供了基于訪問注解的方式細化接口權限的控制定義，接下來使用基于注解的方式控制Controller接口權限。

注意：并不是基于注解的權限控制只能應用到Controller上，只是我們一般都會加到Controller上；其實任何Service方法都是可以使用的。這些注解也可以直接加到接口方法上。

開啟方法認證

@Configuration
@EnableGlobalMethodSecurity(jsr250Enabled = true,  prePostEnabled = true, securedEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
}

屬性說明：

jsr250Enabled：啟用對JSR-250注釋的支持。@RolesAllowed。

prePostEnabled：啟用基于表達式的語法支持（jsr250Enabled和securedEnabled都是基于簡單角色的約束）。@PreAuthorize。

securedEnabled：啟用@Secured注解的支持。

示例：

@GetMapping("/{id}")
@RolesAllowed("ROLE_USERS") // ①
@Secured("ROLE_USERS1") // ②
@PreAuthorize("hasRole('USERS')") // ③
public Object get(@PathVariable("id") Integer id) {
  return "receive - " + id ;
}

接收一個String[] 數組，可以定義多個角色。
接收一個String[] 數組，可以定義多個角色。
可以使用SpEL表達式。

本篇內容只演示基于@PreAuthorize注解的權限控制，其它兩個都非常簡單不做演示。

PreAuthorize注解使用

該注解用于指定方法訪問控制表達式的注釋，該表達式將被計算以確定是否允許方法調用。默認支持的如下表達式：

示例1：

訪問該接口必須具備USERS角色。

@PreAuthorize("hasRole('USERS')")
public Object get(@PathVariable("id") Integer id) {
  return "receive - " + id ;
}

示例2：

訪問該接口只要具有其中任意一種角色即可。

@PreAuthorize("hasAnyRole('USERS', 'ADMIN')")
public Object get(@PathVariable("id") Integer id) {
  return "receive - " + id ;
}

示例3：

訪問該接口必須擁有bus:news:see權限。

@PreAuthorize("hasAuthority('bus:news:see')")
public Object get(@PathVariable("id") Integer id) {
  return "receive - " + id ;
}

實例4：

該接口只要擁有如下任意一個權限即可。

@PreAuthorize("hasAnyAuthority('bus:news:see', 'bus:news:write')")
public Object get(@PathVariable("id") Integer id) {
  return "receive - " + id ;
}

注意：這里的hasRole和hasAuthority區別？

權限認證使用的表達式根對象的基類是SecurityExpressionRoot。該基類中實現了相應方法的調用

public abstract class SecurityExpressionRoot implements SecurityExpressionOperations {
  private String defaultRolePrefix = "ROLE_";
  @Override
  public final boolean hasRole(String role) {
    return hasAnyRole(role);
  }
  @Override
  public final boolean hasAnyRole(String... roles) {
    return hasAnyAuthorityName(this.defaultRolePrefix, roles);
  }
  @Override
  public final boolean hasAuthority(String authority) {
    return hasAnyAuthority(authority);
  }
  @Override
  public final boolean hasAnyAuthority(String... authorities) {
    return hasAnyAuthorityName(null, authorities);
  }
  private boolean hasAnyAuthorityName(String prefix, String... roles) {
    Set<String> roleSet = getAuthoritySet();
    for (String role : roles) {
      // 拼接ROLE_前綴
      String defaultedRole = getRoleWithDefaultPrefix(prefix, role);
      if (roleSet.contains(defaultedRole)) {
        return true;
      }
    }
    return false;
  }
}

通過上面的源碼知道，不管是hasRole還是hasAuthority最終都是調用的hasAnyAuthorityName方法，而hasRole方法拼接ROLE_前綴。

總結：

業務接口Controller權限控制個各種方式。

責任編輯：姜華來源：今日頭條

Spring 權限控制