springsecurity轻松实现角色权限的示例代码

下面详细讲解“springsecurity轻松实现角色权限的示例代码”的完整攻略。

什么是Spring Security

Spring Security是一个基于Spring框架的安全框架，它提供了一种安全性配置，可以处理认证（用户身份验证）和授权（用户访问控制）。通过它，我们可以轻松实现角色权限的管理。

Spring Security的基本概念

在使用Spring Security时，我们需要理解几个基本概念：

• 用户（User）：标识一个拥有访问系统能力的个体。在系统中，用户通常通过唯一标识的用户名进行标识。
• 身份（Principal）：身份代表用户在系统中的一种识别方式，可以是用户名，也可以是其他信息，例如电子邮件地址或手机号码。
• 凭证（Credential）：用户凭证用于验证用户的身份。通常，凭证是用户输入系统的密码，但也可以是其他机制。
• 认证（Authentication）：认证是指通过验证凭证的方式来确认身份。
• 权限（Authority）：权限用于描述用户在系统中的操作能力。例如，可以定义访问资源的权限、执行某些操作的权限等。
• 角色（Role）：角色是权限的集合，它描述了用户在系统中的操作和访问能力。

在Spring Boot中使用Spring Security

在Spring Boot中，使用Spring Security非常容易，我们只需要添加以下依赖即可：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

在完成依赖的添加之后，我们需要创建一个类继承WebSecurityConfigurerAdapter类，并添加@EnableWebSecurity注解，然后在configure方法中进行一些配置。例如：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasAnyRole("ADMIN", "USER")
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .loginPage("/login").permitAll()
            .and()
            .logout().permitAll();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

上面的代码中，configure方法中的配置意义如下：

• 在authorizeRequests方法中，使用antMatchers函数来设置不同的权限分配。例如，/admin/**需要具有ADMIN角色的用户才能访问，/user/**可以被具有ADMIN和USER角色的用户访问。
• anyRequest().authenticated()表示其他请求需要用户经过认证才能访问。
• formLogin()表示使用表单进行登录，loginPage("/login").permitAll()表示登录页面为/login，允许所有用户访问。
• logout().permitAll()表示退出操作允许所有用户访问。

在完成配置之后，我们需要创建一个UserDetailsService的实现类来从数据库中读取用户信息，例如：

@Service
public class UserDetailsServiceImpl implements UserDetailsService {

    @Autowired
    private UserDao userDao;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userDao.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("Username not found");
        }
        List<GrantedAuthority> authorities = new ArrayList<>();
        for (Role role : user.getRoles()) {
            authorities.add(new SimpleGrantedAuthority(role.getName()));
        }
        return new org.springframework.security.core.userdetails.User(user.getUsername(),
                user.getPassword(), authorities);
    }

}

上面的代码中，我们从数据库中读取用户信息，并将用户的角色转换为Spring Security的GrantedAuthority。

示例代码

下面提供两个示例代码来帮助大家理解如何使用Spring Security实现角色权限管理。

示例1：动态获取权限

在这个示例中，我们可以动态地获取用户的权限信息。我们可以通过在configure函数中添加如下代码，从数据库中读取当前用户的权限：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable()
        .authorizeRequests()
        .antMatchers("/admin/**").hasRole("ADMIN")
        .antMatchers("/user/**").hasAnyRole("ADMIN", "USER")
        .anyRequest().authenticated()
        .and()
        .formLogin()
        .loginPage("/login").permitAll()
        .and()
        .logout().permitAll();
    http.authorizeRequests().anyRequest().access("@permissionService.hasPermission(request, authentication)");
}

@Bean
public DefaultWebSecurityExpressionHandler webSecurityExpressionHandler() {
    DefaultWebSecurityExpressionHandler defaultWebSecurityExpressionHandler = new DefaultWebSecurityExpressionHandler();
    defaultWebSecurityExpressionHandler.setPermissionEvaluator(new CustomPermissionEvaluator());
    return defaultWebSecurityExpressionHandler;
}

@Bean
public DefaultMethodSecurityExpressionHandler defaultMethodSecurityExpressionHandler() {
    DefaultMethodSecurityExpressionHandler defaultMethodSecurityExpressionHandler = new DefaultMethodSecurityExpressionHandler();
    defaultMethodSecurityExpressionHandler.setPermissionEvaluator(new CustomPermissionEvaluator());
    return defaultMethodSecurityExpressionHandler;
}

然后再创建一个PermissionService类，实现如下代码：

@Service("permissionService")
public class PermissionService {

    private final Logger log = LoggerFactory.getLogger(PermissionService.class);

    /**
     * 判断是否有权限
     *
     * @param request
     * @param authentication
     * @return boolean
     */
    public boolean hasPermission(HttpServletRequest request, Authentication authentication) {

        String url = request.getRequestURI();
        String method = request.getMethod();

        Collection<? extends GrantedAuthority> authorities = authentication.getAuthorities();
        if (authorities == null) {
            log.warn("no permission, url={}, method={}", url, method);
            return false;
        }

        for (GrantedAuthority authority : authorities) {
            String permission = authority.getAuthority();
            if (permission.equals("ALL") || permission.equals(url)) {
                return true;
            }
        }

        log.warn("no permission, url={}, method={}", url, method);

        return false;
    }

}

上面的代码中，hasPermission函数中将所有权限进行了管理，若用户没有对应权限，则无法访问。

示例2：在注解中使用角色权限

在这个示例中，我们可以在注解中使用角色权限进行限制。例如：

@PreAuthorize("hasRole('ADMIN')")
@RequestMapping("/user/delete")
public String deleteUser(@RequestParam("username") String username) {
    userService.deleteUser(username);
    return "redirect:/user/list";
}

在上面的代码中，我们使用了@PreAuthorize("hasRole('ADMIN')")注解来限制只有具有ADMIN角色的用户才可以执行deleteUser函数。

总结

通过上面的攻略，我们可以了解如何使用Spring Security来轻松实现角色权限的控制。同时，我们提供了两个示例，一个是动态获取权限，另一个是在注解中使用角色权限进行限制。