使用Spring安全表达式控制系统功能访问权限问题

使用Spring安全表达式可以通过在方法执行前进行鉴权，从而控制系统功能的访问权限。下面是使用Spring安全表达式控制系统功能访问权限的完整攻略：

1. 引入Spring Security依赖

在Maven项目的POM文件中，引入Spring Security依赖：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-core</artifactId>
    <version>${spring.security.version}</version>
</dependency>

1. 配置Security配置类

在Spring Boot项目中，可以通过配置Security配置类来实现安全控制。在Security配置类中，需要进行以下配置：

• 配置用户认证信息
• 配置访问控制规则
• 配置Spring Security的其他设置

示例代码如下所示：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user").password(passwordEncoder().encode("password")).roles("USER")
            .and()
            .withUser("admin").password(passwordEncoder().encode("password")).roles("USER", "ADMIN");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .anyRequest().authenticated()
            .and()
            .formLogin().and()
            .httpBasic();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

在上述示例中，我们定义了两个用户，一个是普通用户，一个是管理员。管理员可以访问/admin路径下的所有URL，而普通用户只能访问其他所有路径。

1. 配置安全表达式

要使用Spring安全表达式，需要在Security配置类中配置MethodSecurityExpressionHandler。这可以通过以下代码来实现：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class MethodSecurityConfig extends GlobalMethodSecurityConfiguration {

    @Override
    protected MethodSecurityExpressionHandler createExpressionHandler() {
        DefaultMethodSecurityExpressionHandler handler = new DefaultMethodSecurityExpressionHandler();
        handler.setPermissionEvaluator(new CustomPermissionEvaluator()); // 此处可以自定义PermissionEvaluator
        return handler;
    }
}

在上述示例中，我们启用了方法级别的安全控制，其中@PreAuthorize和@PostAuthorize注解可以用于方法级别的权限控制。

1. 配置注解

现在可以在需要进行鉴权的地方使用@PreAuthorize或@PostAuthorize注解。下面是两个使用示例：

@Service
public class MyService {

    @PreAuthorize("hasRole('ADMIN')") // 只有管理员可以执行此方法
    public void doSomething() {
        // 将要执行的业务逻辑
    }

    @PostAuthorize("returnObject.user == authentication.name") // 只有返回对象的作者是当前用户才可以访问
    public MyObject getMyObjectById(String id) {
        MyObject obj = findById(id);
        // 将要处理的业务逻辑
        return obj;
    }
}

在上述示例中，@PreAuthorize注解表示只有管理员可以执行doSomething()方法。@PostAuthorize注解表示只有返回对象的作者是当前用户才可以访问getMyObjectById()方法。

通过按照上述步骤进行配置和注解，可以实现使用Spring安全表达式控制系统功能访问权限。