Spring Security动态权限的实现方法详解

Spring Security 是一个基于 Spring 的安全框架，提供了一种基于角色的访问控制模型。但是在一些场景中，我们需要动态地控制用户的权限，这时候我们就需要实现 Spring Security 的动态权限控制。本文将详细介绍如何实现 Spring Security 动态权限的控制。

实现步骤

1. 创建实体类： 创建用户和角色实体类，并且在实体类中建立关系，用户实体类包含对应用户所拥有的角色关系
2. 自定义实现 UserDetailsService： 自定义实现 UserDetailsService 接口，加载用户信息，并且初始化 Authentication 对象
3. 自定义实现 AccessDecisionVoter： 自定义实现 AccessDecisionVoter 接口，实现投票规则
4. 配置 Spring Security： 配置 Spring Security，包括配置拦截规则、登录页面、登出页面等等

示例1：创建实体类

@Entity
@Table(name = "user")
public class User {

    @Id
    @GeneratedValue(strategy = GenerationType.AUTO)
    private long id;

    @Column(name = "username")
    private String username;

    @Column(name = "password")
    private String password;

    @ManyToMany(fetch = FetchType.EAGER)
    @JoinTable(name = "user_role", joinColumns ={@JoinColumn(name = "user_id")},inverseJoinColumns ={@JoinColumn(name = "role_id")})
    private List<Role> roles;

    // 省略 getter 和 setter 方法
}

@Entity
@Table(name = "role")
public class Role {

    @Id
    @GeneratedValue(strategy = GenerationType.AUTO)
    private long id;

    @Column(name = "name")
    private String name;

    // 省略 getter 和 setter 方法
}

在这个示例中，我们创建了两个实体类：User 和 Role。其中 User 类和 Role 类是多对多的关系，并且在 User 类中包含对应用户所拥有的角色信息。

示例2：自定义实现 UserDetailsService

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException(username+" not found");
        }
        Set<SimpleGrantedAuthority> authorities = new HashSet<>();
        List<Role> roles = user.getRoles();
        for (Role role : roles) {
            authorities.add(new SimpleGrantedAuthority(role.getName()));
        }
        return new org.springframework.security.core.userdetails.User(user.getUsername(),
                user.getPassword(), authorities);
    }
}

在这个示例中，我们创建了一个名为 CustomUserDetailsService 的类，实现了 UserDetailsService 接口，并且从 UserRepository 中获取用户信息，以及通过用户所对应的角色生成 SimpleGranteAuthority 对象，并最后将这些信息封装在一个 UserDetails 对象中。

示例3：自定义实现 AccessDecisionVoter

@Component
public class CustomAccessDecisionVoter implements AccessDecisionVoter<Object> {

    @Override
    public boolean supports(ConfigAttribute attribute) {
        return attribute.getAttribute() != null;
    }

    @Override
    public boolean supports(Class<?> clazz) {
        return true;
    }

    @Override
    public int vote(Authentication authentication, Object object, Collection<ConfigAttribute> attributes) {
        int result = ACCESS_ABSTAIN;
        Set<String> authorities = new HashSet<>();
        authentication.getAuthorities().forEach(authority -> authorities.add(authority.getAuthority()));
        for (ConfigAttribute attribute : attributes) {
            if (this.supports(attribute)) {
                result = ACCESS_DENIED;
                if (attribute.getAttribute() != null && authorities.contains(attribute.getAttribute())) {
                    return ACCESS_GRANTED;
                }
            }
        }
        return result;
    }
}

在这个示例中，我们创建了一个名为 CustomAccessDecisionVoter 的类，实现了 AccessDecisionVoter 接口，并且重写了三个方法：supports、supports 和 vote。在 vote 方法中，我们通过获取已经授权的权限与当前请求需要的权限进行比对，最终返回一个投票结果。

示例4：配置 Spring Security

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomUserDetailsService customUserDetailsService;

    @Autowired
    private CustomAccessDecisionVoter customAccessDecisionVoter;

    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {
        httpSecurity
                .authorizeRequests()
                // 自定义配置资源的权限
                .antMatchers("/admin/**").hasAuthority("ADMIN")
                .antMatchers("/user/**").hasAuthority("USER")
                .anyRequest().authenticated() // 没有匹配的资源则需要进行身份验证
                .accessDecisionManager(accessDecisionManager()) // 注入投票器
                .and().formLogin()
                .and().logout()
                .and().csrf().disable();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(customUserDetailsService).passwordEncoder(passwordEncoder());
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public AffirmativeBased accessDecisionManager() {
        List<AccessDecisionVoter<?>> decisionVoters = Collections.singletonList(customAccessDecisionVoter);
        return new AffirmativeBased(decisionVoters);
    }
}

在这个示例中，我们创建了一个名为 SecurityConfig 的类，并且继承了 WebSecurityConfigurerAdapter 对象。在 SecurityConfig 中，我们通过重写 configure 方法 and configure 方法，配置了 Spring Security 的拦截规则、登录页面、登出页面等等，以及注入了自定义的投票器和UserDetailsService。

总结

本文针对 Spring Security 动态权限的实现方法，从创建实体类到最终的 Spring Security 配置等步骤一一进行了详细的介绍。在实现中我们使用了多样化的 Spring Security 技术，包括自定义 UserDetailsService 和 AccessDecisionVoter，以及不同类型的投票器。希望本文对你了解 Spring Security 动态权限的实现方法有所帮助。