Spring Security权限配置与使用大全

简介

Spring Security 是 Spring Framework 提供的安全验证框架，主要解决 Web 应用程序的安全管理问题。它通过认证和授权的方式控制用户对资源的访问权限，防止未授权的用户访问这些资源，保证Web应用程序的安全性。

Spring Security 模块的工作方式是基于过滤器链（Filter Chain）的，它将访问控制功能组织为一个 Filter 管道，过滤器链通过一系列过滤器来完成对请求的过滤、验证和授权。

本文将介绍 Spring Security 权限配置与使用过程，包括基于用户验证的授权、基于注解的授权、基于权限表达式的授权、基于 ACL 的授权等多种方式，并提供了两个案例来说明其使用过程。

基于用户验证的授权

配置用户信息服务

在使用 Spring Security 进行用户验证时，需要提供一个用户信息服务（UserDetailsService）来获取用户的认证信息，这个服务需要实现 org.springframework.security.core.userdetails.UserDetailsService 接口并实现其 loadUserByUsername 方法，该方法接受用户名为参数并返回一个包含用户认证信息的 UserDetails 对象。

@Service
public class UserDetailsServiceImpl implements UserDetailsService {
    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("用户不存在");
        }
        return new org.springframework.security.core.userdetails.User(user.getUsername(), user.getPassword(),
                AuthorityUtils.commaSeparatedStringToAuthorityList(user.getRoles()));
    }
}

以上代码中的 User 和 UserRepository 是为了模拟用户数据的实体类和数据访问层，实际使用时需要替换为真实的代码。

配置 Spring Security

首先需要导入 Spring Security 的依赖：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>5.4.1</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-config</artifactId>
    <version>5.4.1</version>
</dependency>

在 Spring Security 的配置类中，将 UserDetailsService 注入到 AuthenticationManagerBuilder 中，并配置密码加密方式，示例代码如下：

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

以上代码中的 BCryptPasswordEncoder 是 Spring Security 在 org.springframework.security.crypto.password 包中提供的密码加密方式，实际使用中可以根据需要选择其他的加密方式。

配置 HTTP 访问控制

在 Spring Security 中，通过配置 HttpSecurity 可以实现 HTTP 访问控制，它定义了一些特定 URL 路径的身份验证和授权规则。

以下是一个基本的HttpSecurity配置示例（使用了基于表单的身份验证方案）：

@Override
protected void configure(HttpSecurity http) throws Exception {
    //禁用 CSRF
    http.csrf().disable()
        //配置用户登录
        .formLogin()
        .loginPage("/login")
        .successHandler(authenticationSuccessHandler()) //处理登录成功逻辑
        .failureHandler(authenticationFailureHandler()) //处理登录失败逻辑
        .and()
        //配置用户退出
        .logout()
        .logoutSuccessHandler(logoutSuccessHandler()) //处理退出登录逻辑
        .and()
        //配置权限限制
        .authorizeRequests()
        .antMatchers("/login").permitAll() //允许匿名访问登录页面
        .antMatchers("/admin").hasRole("ADMIN") //需要 ADMIN 角色才能访问
        .antMatchers("/user").hasAnyRole("ADMIN", "USER") //需要 ADMIN 或 USER 角色才能访问
        .anyRequest().authenticated(); //其他 URL 都需要用户身份认证
}

以上代码中，配置了登录、退出和访问控制等多个方面的功能。

基于注解的授权

Spring Security 还提供了基于注解的授权方式，通过在方法或类上使用注解来控制方法或类的访问权限。

配置注解解析器

在 Spring Security 配置类中，需要添加注解支持，示例代码如下：

@EnableGlobalMethodSecurity(prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    //...
}

使用注解

在需要控制权限的类或方法上方添加 @PreAuthorize 注解或 @PostAuthorize 注解，并使用 SpEL 表达式指定权限控制规则，示例代码如下：

@Service
public class UserServiceImpl implements UserService {
    @Override
    @PreAuthorize("hasRole('ADMIN') or hasAuthority('user:delete')")
    public void deleteUser(Long id) {
        //...
    }
}

以上代码中，在 deleteUser 方法上添加了 @PreAuthorize 注解，并使用 SpEL 表达式指定了权限控制规则，要求用户需要 ADMIN 角色或 user:delete 权限才能执行该方法。

示例一：基于用户验证和注解的授权

示例需求：用户通过 API 调用某个资源，需要验证用户是否具有特定角色或权限。

在上述两种授权方式的基础上，可以结合使用，实现更加复杂的访问控制需求。以下是示例代码：

@RestController
@RequestMapping("/api")
public class ApiController {
    @Autowired
    private UserService userService;

    @GetMapping("/user/{id}")
    @PreAuthorize("hasRole('ADMIN') or hasAuthority('user:read')")
    public UserDto getUser(@PathVariable Long id) {
        User user = userService.findById(id);
        //...
    }

    @DeleteMapping("/user/{id}")
    @PreAuthorize("hasRole('ADMIN') or hasAuthority('user:delete')")
    public void deleteUser(@PathVariable Long id) {
        userService.deleteUser(id);
    }
}

以上代码中，使用了 @PreAuthorize 注解来进行基于注解的授权，并指定了需要的角色或权限。

基于权限表达式的授权

在Spring Security中，还可以使用更加灵活和强大的权限表达式来实现访问控制，权限表达式使用SpEL表达式语言来描述授权规则。

以下是一个基本的 HttpSecurity 配置示例（使用了基于表单的身份验证方案）：

@Override
protected void configure(HttpSecurity http) throws Exception {
    //禁用 CSRF
    http.csrf().disable()
        //配置用户登录
        .formLogin()
        .loginPage("/login")
        .successHandler(authenticationSuccessHandler()) //处理登录成功逻辑
        .failureHandler(authenticationFailureHandler()) //处理登录失败逻辑
        .and()
        //配置用户退出
        .logout()
        .logoutSuccessHandler(logoutSuccessHandler()) //处理退出登录逻辑
        .and()
        //配置权限限制
        .authorizeRequests()
        .antMatchers("/login").permitAll() //允许匿名访问登录页面
        .antMatchers("/admin").access("hasRole('ADMIN')") //需要 ADMIN 角色才能访问
        .antMatchers("/user").access("hasAnyRole('USER', 'ADMIN')") //需要 USER 或 ADMIN 角色才能访问
        .anyRequest().authenticated(); //其他 URL 都需要用户身份认证
}

以上代码中，使用了 access 方法来指定权限表达式，如 hasRole('ADMIN') 表示需要 ADMIN 角色才能访问。

示例二：基于权限表达式的授权