详解Spring Security如何在权限中使用通配符

要在Spring Security中使用通配符进行权限管理，需要结合使用Ant风格的路径匹配模式和正则表达式。

首先，在WebSecurityConfigurerAdapter的configure(HttpSecurity http)方法中，我们可以使用Ant风格的路径匹配模式进行权限配置，例如：

http.authorizeRequests()
    .antMatchers("/admin/**").hasRole("admin")
    .antMatchers("/user/**").hasAnyRole("admin", "user")
    .antMatchers("/public/**").permitAll()
    .anyRequest().authenticated();

在上面的代码中，使用了antMatchers()方法对请求进行匹配，然后配置了不同的访问角色权限。/admin/**表示所有以/admin/开头的请求都需要admin角色才能访问，/user/**表示所有以/user/开头的请求都需要admin或user角色才能访问，/public/**表示所有以/public/开头的请求都是公共资源可以无需登陆即可访问，anyRequest().authenticated()表示所有其他请求必须登录后才能访问。

这里的antMatchers()方法中的字符串也可以使用正则表达式进行匹配，例如：

http.authorizeRequests()
    .regexMatchers("^/admin/.*").hasRole("admin")
    .regexMatchers("^/user/(?!admin/).*$").hasRole("user")
    .regexMatchers("^/public/.*").permitAll()
    .anyRequest().authenticated();

在上面的代码中，使用了regexMatchers()方法对请求进行正则表达式匹配，然后配置了不同的访问角色权限。^/admin/.*表示所有以/admin/开头的请求都需要admin角色才能访问，^/user/(?!admin/).*$表示所有以/user/开头且后面不是admin/的请求都需要user角色才能访问，^/public/.*表示所有以/public/开头的请求都是公共资源可以无需登陆即可访问，anyRequest().authenticated()表示所有其他请求必须登录后才能访问。

下面是使用Ant风格和正则表达式匹配的示例代码：

http.authorizeRequests()
    .antMatchers("/admin/**").hasRole("admin")
    .antMatchers("/user/**").hasAnyRole("admin", "user")
    .antMatchers("/public/**").permitAll()
    .anyRequest().authenticated();

http.authorizeRequests()
    .regexMatchers("^/admin/.*").hasRole("admin")
    .regexMatchers("^/user/(?!admin/).*$").hasRole("user")
    .regexMatchers("^/public/.*").permitAll()
    .anyRequest().authenticated();

这样就可以通过通配符的方式对Spring Security中的权限进行灵活的管理了。