spring security动态配置url权限的2种实现方法

下面为您详细讲解“Spring Security动态配置URL权限的2种实现方法”的攻略。

1. 动态配置URL权限简介

Spring Security是用于认证和授权Spring应用程序的框架。在web应用程序中，Spring Security可用于为URL和方法安全添加注释。普通的静态配置会将所有请求都一视同仁地处理。但在一些应用程序中，不同等级的用户可能需要访问不同的URL，并对资源进行不同的操作。因此，Spring Security支持动态配置URL的权限。

2. 基于数据库的动态配置

Spring Security使用MyBatis查询数据库来动态加载URL权限过滤器。这种方式将权限控制从代码中移动到数据库中，允许开发人员通过修改数据库中的配置来更改应用程序的安全性。

下面是基于数据库的动态配置步骤：

2.1 添加依赖

首先，需要添加相应的依赖，包括spring-security-core、mybatis-spring、mybatis等依赖，例如：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-core</artifactId>
    <version>5.5.0</version>
</dependency>
<dependency>
    <groupId>org.mybatis.spring.boot</groupId>
    <artifactId>mybatis-spring-boot-starter</artifactId>
    <version>2.2.0</version>
</dependency>
<dependency>
    <groupId>org.mybatis</groupId>
    <artifactId>mybatis</artifactId>
    <version>3.5.7</version>
</dependency>

2.2 配置数据源

其次，需要配置数据源，例如使用Druid数据源：

spring.datasource.driver-class-name=com.mysql.cj.jdbc.Driver
spring.datasource.url=jdbc:mysql://localhost:3306/spring_security_demo?serverTimezone=UTC&useUnicode=true&characterEncoding=UTF-8&useSSL=false
spring.datasource.username=root
spring.datasource.password=123456

2.3 配置Spring Security

然后，在SpringSecurityConfig类中添加配置，例如：

@Configuration
public class SpringSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private DataSource dataSource;

    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN") // 需要ADMIN角色才能访问/admin/**
                .anyRequest().authenticated() // 所有请求都需要认证通过
                .and().formLogin(); // 支持form登录
    }

    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.jdbcAuthentication().dataSource(dataSource)
                .usersByUsernameQuery("select username,password,enabled from user where username = ?")
                .authoritiesByUsernameQuery("SELECT u.username, r.name FROM user u INNER JOIN user_role ur ON u.id = ur.user_id INNER JOIN role r ON ur.role_id = r.id WHERE u.username = ?");
    }
}

2.4 配置MySQL数据库

然后，需要在MySQL数据库中添加相应的用户和角色信息，例如：

-- 添加用户信息
insert into user (username,password,enabled) values ('user','password',true);
insert into user (username,password,enabled) values ('admin','password',true);

-- 添加角色信息
insert into role (name) values ('USER');
insert into role (name) values ('ADMIN');

-- 分配用户角色
insert into user_role (user_id, role_id) values (1, 1);
insert into user_role (user_id, role_id) values (2, 2);

2.5 测试

完成上述步骤后，启动应用程序并在浏览器中打开http://localhost:8080/。可以使用用户名“user”和密码“password”进行登录。在浏览器中打开http://localhost:8080/admin/，应该会显示拒绝访问，因为只有ADMIN角色的用户才能访问该URL。

3. 基于注解的动态配置

除了基于数据库的配置，Spring Security还支持注解方式的动态配置。可以使用注解来配置URL或方法级别的安全性。下面是基于注解的动态配置步骤：

3.1 添加依赖

和基于数据库的配置一样，首先需要添加相应的依赖。

3.2 配置Spring Security

然后，在SpringSecurityConfig类中添加配置，例如：

@Configuration
@EnableWebSecurity
public class SpringSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN") // 需要ADMIN角色才能访问/admin/**
                .anyRequest().authenticated() // 所有请求都需要认证通过
                .and()
                .formLogin() // 支持form登录
                .loginPage("/login")
                .permitAll()
                .and()
                .logout()
                .permitAll();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("user").password(passwordEncoder().encode("password")).roles("USER")
                .and()
                .withUser("admin").password(passwordEncoder().encode("password")).roles("ADMIN");
    }
}

3.3 在类或方法上添加注解

然后，在需要进行权限控制的类和方法上添加@PreAuthorize注解，例如：

@Controller
public class HomeController {

    @GetMapping("/")
    @PreAuthorize("hasRole('USER')")
    public String homePage(Model model) {
        model.addAttribute("message", "Welcome to our website!");
        return "home";
    }

    @GetMapping("/admin")
    @PreAuthorize("hasRole('ADMIN')")
    public String adminPage(Model model) {
        model.addAttribute("message", "Welcome to the admin page!");
        return "admin";
    }
}

3.4 测试

完成上述步骤后，启动应用程序并在浏览器中打开http://localhost:8080/。可以使用用户名“user”和密码“password”进行登录。在浏览器中打开http://localhost:8080/admin/，应该会显示拒绝访问，因为只有ADMIN角色的用户才能访问该URL。

4. 总结

本文详细介绍了Spring Security中动态配置URL权限的2种实现方法——基于数据库的动态配置和基于注解的动态配置。基于数据库的动态配置将权限控制从代码中移动到数据库中，允许开发人员通过修改数据库中的配置来更改应用程序的安全性。基于注解的动态配置可以使用注解来配置URL或方法级别的安全性。开发人员可以根据实际情况选择合适的方法进行权限控制。