spring security自定义决策管理器

下面来详细讲解一下“spring security自定义决策管理器”的完整攻略。

什么是决策管理器

Spring Security是一个基于Spring的安全框架，其中涉及到许多安全相关的处理，包括鉴权（Authentication）和授权（Authorization）等。使用Spring Security，我们可以通过配置来管理系统中不同的权限，而决策管理器（Access Decision Manager）则扮演着一个重要的角色。

决策管理器是Spring Security中的一个重要组件，它的作用是判断当前用户是否有访问某个资源的权限。如果有，就将请求发送给相应的handler进行处理；如果没有，则拒绝请求。

Spring Security 决策管理器的默认实现

Spring Security提供了三个决策管理器的默认实现:

• AffirmativeBased，只要给定的权限中有一个被允许访问，就允许访问。
• ConsensusBased，投票机制，根据是否平局及其它因素等细节来判断是否允许访问。
• UnanimousBased，只有所有的都不反对，才允许访问。

Spring Security 自定义决策管理器的步骤

如果默认的决策管理器无法满足我们的要求，就需要自定义决策管理器。

1. 编写自定义的决策管理器

我们首先需要编写一个类来自定义决策管理器，这个类需要实现AccessDecisionManager接口，其中最重要的方法是decide方法，它决策是否允许访问。

public class MyAccessDecisionManager implements AccessDecisionManager {

    @Override
    public void decide(Authentication authentication, Object object, Collection<ConfigAttribute> configAttributes)
            throws AccessDeniedException, InsufficientAuthenticationException {
        // 根据 authentication 和其他参数来判断是否有权限
        // 如果没有权限，抛出 AccessDeniedException
        // 否则，允许访问
    }

    @Override
    public boolean supports(ConfigAttribute attribute) {
        return true;
    }

    @Override
    public boolean supports(Class<?> clazz) {
        return true;
    }
}

2. 在配置中指定自定义的决策管理器

接下来，在配置文件中声明使用我们自定义的决策管理器

<http>
    <intercept-url pattern="/admin/**" access="ADMIN" />
    <access-decision-manager ref="myAccessDecisionManager" />
</http>

<beans:bean id="myAccessDecisionManager" class="com.example.MyAccessDecisionManager" />

示例一

假设有管理员和普通用户，管理员可以访问所有路径，普通用户只能访问/user路径。我们可以使用代码实现这个效果。

public class MyAccessDecisionManager implements AccessDecisionManager {

    @Override
    public void decide(Authentication authentication, Object object,
            Collection<ConfigAttribute> configAttributes)
            throws AccessDeniedException, InsufficientAuthenticationException {
        for (ConfigAttribute configAttribute : configAttributes) {
            String needRole = configAttribute.getAttribute();
            for (GrantedAuthority grantedAuthority : authentication.getAuthorities()) {
                if (needRole.equals(grantedAuthority.getAuthority())) {
                    return;
                }
            }
        }
        throw new AccessDeniedException("没有权限访问！");
    }

    @Override
    public boolean supports(ConfigAttribute attribute) {
        return true;
    }

    @Override
    public boolean supports(Class<?> clazz) {
        return true;
    }
}

<http>
    <intercept-url pattern="/admin/**" access="ROLE_ADMIN" />
    <intercept-url pattern="/user/**" access="ROLE_USER" />
    <access-decision-manager ref="myAccessDecisionManager" />
</http>

<beans:bean id="myAccessDecisionManager" class="com.example.MyAccessDecisionManager" />

示例二

假设有四种角色，分别为管理员、超级管理员、普通用户和财务人员，他们的访问权限不一。管理员可以访问所有路径，超级管理员可以访问/user路径，普通用户可以访问/user路径中的所有子路径，财务人员可以访问/finance路径。我们可以使用代码实现这个效果。

public class MyAccessDecisionManager implements AccessDecisionManager {

    @Override
    public void decide(Authentication authentication, Object object,
            Collection<ConfigAttribute> configAttributes)
            throws AccessDeniedException, InsufficientAuthenticationException {
        for (ConfigAttribute configAttribute : configAttributes) {
            String needRole = configAttribute.getAttribute();
            for (GrantedAuthority grantedAuthority : authentication.getAuthorities()) {
                if (needRole.equals(grantedAuthority.getAuthority())) {
                    return;
                }
            }
        }
        throw new AccessDeniedException("没有权限访问！");
    }

    @Override
    public boolean supports(ConfigAttribute attribute) {
        return true;
    }

    @Override
    public boolean supports(Class<?> clazz) {
        return true;
    }
}

<http>
    <intercept-url pattern="/admin/**" access="ROLE_ADMIN" />
    <intercept-url pattern="/user/**" access="ROLE_USER,ROLE_ADMIN" />
    <intercept-url pattern="/user/detail/**" access="ROLE_USER,ROLE_ADMIN,SUPER_ADMIN" />
    <intercept-url pattern="/finance/**" access="ROLE_FINANCE" />
    <access-decision-manager ref="myAccessDecisionManager" />
</http>

<beans:bean id="myAccessDecisionManager" class="com.example.MyAccessDecisionManager" />

以上就是“spring security自定义决策管理器”的完整攻略，希望能对你有所帮助。