java中自定义Spring Security权限控制管理示例（实战篇）

下面是“java中自定义Spring Security权限控制管理示例（实战篇）”的完整攻略，包含两条示例。

简介

Spring Security是保护基于Spring的应用程序的安全性的框架。其提供的安全功能包括身份验证、授权和攻击防范。在此基础上，Spring Security也支持自定义实现权限控制管理。本篇文章将介绍如何在Java项目中自定义Spring Security的权限控制管理。

步骤

下面是实现自定义Spring Security权限控制管理的步骤：

1. 添加Spring Security依赖

在项目的pom.xml文件中添加Spring Security的依赖，如下所示：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>5.1.5.RELEASE</version>
</dependency>

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-config</artifactId>
    <version>5.1.5.RELEASE</version>
</dependency>

2. 配置Spring Security

在项目的Spring配置文件中添加以下配置：

<sec:http auto-config="true" use-expressions="true">
    <sec:intercept-url pattern="/login" access="permitAll"/>
    <sec:intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')"/>
    <sec:intercept-url pattern="/**" access="isAuthenticated()"/>
    <sec:form-login login-page="/login" default-target-url="/" authentication-failure-url="/login?error=true"/>
    <sec:logout logout-success-url="/login"/>
</sec:http>

<sec:authentication-manager>
    <sec:authentication-provider>
        <sec:user-service>
            <sec:user name="admin" password="admin123" authorities="ROLE_ADMIN"/>
            <sec:user name="user" password="user123" authorities="ROLE_USER"/>
        </sec:user-service>
    </sec:authentication-provider>
</sec:authentication-manager>

这个配置文件中配置了安全限制和身份验证信息，其中：

• <intercept-url> 标签定义了需要进行权限控制的url路径和相应的访问权限。
• <form-login> 标签定义了登录页面和登录成功后的跳转路径。
• <logout> 标签定义了退出登录后跳转的路径。
• <user-service> 标签定义了用于验证的用户信息。

3. 配置自定义权限控制

在项目中可以自定义权限控制，可以通过实现Spring Security的 AccessDecisionManager 接口来实现自定义权限控制。下面是一个示例：

public class CustomDecisionManager implements AccessDecisionManager {

    @Override
    public void decide(Authentication authentication, Object object, Collection<ConfigAttribute> configAttributes) throws AccessDeniedException, InsufficientAuthenticationException {
        if (configAttributes == null || configAttributes.size() <= 0) {
            return;
        }
        for (ConfigAttribute configAttribute : configAttributes) {
            String needRole = configAttribute.getAttribute();
            for (GrantedAuthority grantedAuthority : authentication.getAuthorities()) {
                if (needRole.equals(grantedAuthority.getAuthority())) {
                    return;
                }
            }
        }
        throw new AccessDeniedException("Access Denied");
    }

    @Override
    public boolean supports(ConfigAttribute attribute) {
        return true;
    }

    @Override
    public boolean supports(Class<?> clazz) {
        return true;
    }
}

在上面的代码中，CustomDecisionManager 类实现了 AccessDecisionManager 接口来自定义权限控制。其中，decide() 方法定义了对访问权限的判断和抛出异常等操作。在这个自定义实现中，只有当用户具有访问权限时，才允许访问。

4. 添加自定义权限控制到Spring Security

在Spring配置文件中添加以下配置：

<bean id="customDecisionManager" class="com.example.CustomDecisionManager"/>
<sec:global-method-security access-decision-manager-ref="customDecisionManager"/>

这个配置文件定义了一个 CustomDecisionManager 实例，并将其添加到 AccessDecisionManager 中。

示例1

下面是一个示例，在这个示例中，我们将定义 /admin 路径需要 ROLE_ADMIN 角色才能访问。

@RestController
public class TestController {

    @GetMapping("/admin")
    @PreAuthorize("hasRole('ROLE_ADMIN')")
    public String admin() {
        return "Hello, Admin";
    }

}

在上面的示例中，我们使用 @PreAuthorize 注解来定义需要访问 /admin 路径的角色。在访问该路径时，Spring Security 将自动执行 CustomDecisionManager 中定义的自定义权限控制，如果验证通过，则可以访问该路径。

示例2

下面是另一个示例，在这个示例中，我们将定义 /user 路径需要 ROLE_USER 角色才能访问。

@RestController
public class TestController {

    @GetMapping("/user")
    public String user() {
        return "Hello, User";
    }

    @Secured("ROLE_USER")
    @GetMapping("/user/secured")
    public String secured() {
        return "Hello, Secured User";
    }

}

在上面的示例中，我们使用 @Secured 注解来定义需要访问 /user/secured 路径的角色。在访问该路径时，Spring Security 将自动执行 CustomDecisionManager 中定义的自定义权限控制，验证通过后才能访问该路径。

结论

上面这些示例展示了Java中自定义Spring Security权限控制管理的实现。通过自定义 AccessDecisionManager 接口并添加到Spring Security中，我们可以实现各种定制化的权限控制。