Spring Security权限想要细化到按钮实现示例

为了实现Spring Security权限细化到按钮级别的权限控制，需要经过以下几个步骤：

步骤1，配置Spring Security

在Spring Security的配置中添加按钮级别的权限控制。

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // 其他配置
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/button1/**").access("hasRole('ROLE_USER') and hasAuthority('BUTTON1')")
                .antMatchers("/button2/**").access("hasRole('ROLE_USER') and hasAuthority('BUTTON2')")
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll();
    }
}

在以上的配置中，我们通过 antMatchers 来匹配请求路径，如果路径匹配成功，则根据具有的角色或权限信息来进行访问控制。我们可以使用 access() 来自定义访问控制条件，比如上述示例中，对于 /button1/** 和 /button2/** 这两个请求路径，只有同时拥有 ROLE_USER 角色和 BUTTON1 / BUTTON2 权限的用户才可以访问。

步骤2，编写角色和权限所对应的按钮代码

在应用中，我们需要针对每个角色和权限来定义相应的按钮。比如，我们可以在页面上，使用相应角色和权限所拥有的类名进行标记。

<a href="#" class="button1 role-user authority-button1">Button 1</a>
<a href="#" class="button2 role-admin authority-button2">Button 2</a>

在这两行代码中，我们使用了 role-user 和 authority-button1 这两个类名来标记了第一个按钮，使用了 role-admin 和 authority-button2 这两个类名来标记了第二个按钮。这样一来，当用户访问 /button1/** 或 /button2/** 这两个路径时，只有同时具有相应角色和权限的用户才可以看到相应的按钮。

步骤3，编写Javascript代码

在用户访问页面时，我们需要通过Javascript代码来对页面上的按钮进行权限控制。具体来说，我们可以编写下列Javascript代码：

$(document).ready(function(){
    // 检查具有 role-user 和 authority-button1 等类名的按钮是否合法
    $('.role-user.authority-button1').each(function(){
        if (!hasRoleAndAuthority(['ROLE_USER', 'BUTTON1'])){
            $(this).hide();
        }
    });

    // 检查具有 role-user 和 authority-button2 等类名的按钮是否合法
    $('.role-admin.authority-button2').each(function(){
        if (!hasRoleAndAuthority(['ROLE_ADMIN', 'BUTTON2'])){
            $(this).hide();
        }
    });

    // 判断当前用户是否拥有指定角色和权限
    function hasRoleAndAuthority(auths){
        var userRoles = getUserRoles();
        for (var i = 0; i < auths.length; i++){
            if ($.inArray(auths[i], userRoles) === -1){
                return false;
            }
        }
        return true;
    }

    // 获取当前用户的角色信息
    function getUserRoles(){
        var userRoles = [];
        var hasRolePrefix = 'role-';
        var classes = $('body').attr('class').split(/\s+/);

        for (var i = 0; i < classes.length; i++){
            if (classes[i].indexOf(hasRolePrefix) === 0){
                userRoles.push(classes[i].substr(hasRolePrefix.length));
            }
        }
        return userRoles;
    }
});

在以上Javascript代码中，我们通过定义 hasRoleAndAuthority() 方法来判断当前用户是否具有指定的角色和权限。具体来说，该方法会调用 getUserRoles() 方法来获取当前用户所有的角色信息，然后再对每个校验项逐一进行判断，如果有一个校验项没有通过，则表示当前用户不具有指定的角色和权限。而在 getUserRoles() 方法中，我们则通过 jQuery 来获取当前页面的 body 标签，并由此得到所有的类名信息。其中，所有以 role- 前缀开头的类名都被认为是角色信息。

通过以上3个步骤，我们实现了Spring Security权限细化到按钮级别的权限控制。