SpringSecurity怎样使用注解控制权限

使用注解控制权限是Spring Security中比较方便的一种方式。在Spring Security中，我们可以使用@PreAuthorize和@PostAuthorize注解来控制方法的访问权限，以保证系统的安全性。

@PreAuthorize注解

@PreAuthorize注解的作用是在方法执行前进行权限验证，如果验证失败，则该方法不会被执行。该注解的使用方法如下：

@PreAuthorize("hasRole('ROLE_ADMIN')")
public void doSomething() {
    //do something
}

在上述例子中，@PreAuthorize注解会验证当前用户是否拥有ROLE_ADMIN权限，只有当验证成功时，才能执行doSomething方法。

我们还可以使用Spring EL表达式来进行更灵活的权限控制。例如：

@PreAuthorize("hasRole('ROLE_ADMIN') and hasPermission(#domainObj, 'read')")
public void readDomainObj(DomainObj domainObj) {
    //read domainObj
}

上述例子中，@PreAuthorize注解会验证当前用户是否拥有ROLE_ADMIN权限和读取domainObj对象的权限，只有当验证成功时，才能执行readDomainObj方法。

@PostAuthorize注解

与@PreAuthorize注解相反，@PostAuthorize注解的作用是在方法执行后进行权限验证。即使方法已经执行完成了，验证失败，也会出现AccessDeniedException异常。使用方法与@PreAuthorize类似。

@PostAuthorize("hasRole('ROLE_ADMIN') or hasRole('ROLE_USER')")
public List<DomainObj> listDomainObjs() {
    //list domainObjs
    return domainObjs;
}

上述例子中，@PostAuthorize注解会验证当前用户是否拥有ROLE_ADMIN或者ROLE_USER权限，只有当验证成功时，才能返回listDomainObjs方法返回的对象。

示例

下面将给出两个示例，分别演示如何使用@PreAuthorize和@PostAuthorize注解。

@Service
public class UserServiceImpl implements UserService {

    @Override
    @PreAuthorize("hasPermission(#userId, 'user', 'edit')") 
    public void updateUser(Long userId, String userName) {
        //update user
    }

    @Override
    @PostAuthorize("hasRole('ADMIN') or returnObject.owner == authentication.name")
    public User getUser(Long userId) {
        //get user
        return user;
    }
}

在上述示例代码中，updateUser方法会对userId进行验证，只有拥有'user'的'edit'权限的用户才能调用该方法进行用户信息的更新。getUser方法则会在方法执行完毕后，对返回的user对象进行验证，只有拥有ADMIN角色或者owner等于当前用户的用户才能访问该方法。

以上是使用@PreAuthorize和@PostAuthorize注解实现Spring Security权限控制的完整攻略。