使用SpringSecurity设置角色和权限的注意点

使用SpringSecurity设置角色和权限需要注意以下几点：

1. 角色和权限的定义

在SpringSecurity中，角色和权限是两个不同的概念，需要分别定义。角色通常是一组权限的集合，而权限则是可以被授权的操作或资源。

1.1 定义角色

角色可以使用RoleHierarchy来继承和组合，这样可以减少冗余的定义。例如，我们定义了一个ROLE_ADMIN角色，它拥有所有ROLE_USER角色的权限。那么我们只需要定义ROLE_ADMIN角色，就可以省略掉对ROLE_USER角色的定义。

@Bean
public RoleHierarchy roleHierarchy() {
    RoleHierarchyImpl roleHierarchy = new RoleHierarchyImpl();
    roleHierarchy.setHierarchy("ROLE_ADMIN > ROLE_USER");
    return roleHierarchy;
}

1.2 定义权限

权限要细分到具体的操作或资源，例如READ、WRITE、DELETE等操作，或者是某个URL、API等资源。权限通常是在WebSecurityConfigurerAdapter的configure(HttpSecurity http)方法中定义的。

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests().antMatchers("/admin/**").hasRole("ADMIN")
        .antMatchers("/user/**").hasRole("USER")
        .antMatchers("/about").permitAll()
        .anyRequest().authenticated()
        .and().formLogin().loginPage("/login").permitAll()
        .and().logout().permitAll();
}

2. 角色和权限的授权

2.1 授权角色

在对用户授权时，可以直接授权角色，例如：

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
        .withUser("user").password("{noop}123").roles("USER")
        .and()
        .withUser("admin").password("{noop}123").roles("ADMIN","USER");
}

2.2 授权权限

在对用户授权时，也可以直接授权权限，例如：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests().antMatchers("/api/**").hasAuthority("READ")
        .anyRequest().authenticated()
        .and().formLogin().loginPage("/login").permitAll()
        .and().logout().permitAll();
}

注意：在授权权限时，需要使用hasAuthority()方法，而不是hasRole()方法。

以上就是使用SpringSecurity设置角色和权限的注意点，希望能对你有所帮助。

阅读剩余 31%