详解Spring Security如何在权限中使用通配符

首先，在使用Spring Security进行权限管理时，有时希望通过通配符来进行权限的配置。通配符可以使得权限的配置更为灵活，方便进行管理。

在Spring Security中，可以使用Ant风格的通配符来进行权限的配置。Ant风格的通配符包含两种符号：*和**。其中，*表示任意单词，**表示任意多级目录。

例如，假设我们有以下两个URL需要进行权限配置：

/admin/user
/admin/role

如果我们想要拦截/admin/*下的所有URL，可以使用如下配置：

http.authorizeRequests()
    .antMatchers("/admin/*").hasRole("ADMIN")

此时，用户需要具有ADMIN角色才能访问/admin/user和/admin/role。

如果我们想要拦截/admin/**下的所有URL，可以使用如下配置：

http.authorizeRequests()
    .antMatchers("/admin/**").hasRole("ADMIN")

此时，用户需要具有ADMIN角色才能访问/admin/user、/admin/role以及/admin/subpath/subpage等任何一个子路径。

下面通过两个示例来进一步说明如何使用通配符进行权限配置。

示例1：拦截所有需要权限控制的URL

假设我们有一个简单的Web应用，在该Web应用中，所有URL都需要进行权限控制。此时，我们可以使用如下配置：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/**").authenticated()
                .and()
                .formLogin();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService)
                .passwordEncoder(new BCryptPasswordEncoder());
    }

}

在上述配置中，我们使用通配符/**匹配所有需要权限控制的URL。通过这样的配置，除了登录页面之外的所有URL都需要进行认证（即需要登录才能进行访问）。

示例2：针对不同角色拦截不同URL

假设我们有三种角色：ROLE_USER、ROLE_ADMIN和ROLE_SUPERADMIN。其中，ROLE_USER可以访问所有不需要管理员权限的URL，ROLE_ADMIN可以访问所有需要管理员权限的URL，而ROLE_SUPERADMIN可以访问所有URL。此时，我们可以使用如下配置：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/admin/**").hasAnyRole("ADMIN", "SUPERADMIN")
                .antMatchers("/**").hasRole("USER")
                .and()
                .formLogin();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService)
                .passwordEncoder(new BCryptPasswordEncoder());
    }

}

在上述配置中，我们使用通配符/**匹配所有URL，然后通过不同的角色来拦截不同URL。具体地，通过.antMatchers("/admin/**").hasAnyRole("ADMIN", "SUPERADMIN")来允许ADMIN和SUPERADMIN访问/admin/*下的所有URL，通过.antMatchers("/**").hasRole("USER")来允许USER访问除/admin/*外的所有URL。

通过上述两个示例，我们可以看出，使用通配符可以使得权限的配置更加灵活和方便。同时，在使用通配符时，需要注意通配符的粒度，以保证权限的精细化控制。