Spring Boot整合Spring Security (三) 权限配置实战

心已赠人 2023-01-04 14:55 380阅读 0赞

## 前言 ##

Spring Security主要目的是帮助开发更好地实现认证和授权。

本篇文章将介绍如何使用SpringBoot整合Spring Security，对不同用户进行不同授权,让不同的用户能访问不同的资源，这里的资源包括后端接口服务、静态资源等等。

需要注意的是，本文基于已经实现自定义逻辑认证的基础上进一步进阶。

**前情提要**

已经创建user表结构，并通过Mybatis实现查询数据库。

enable代表该账户是否可用，roles代表用户权限。  
![在这里插入图片描述][20210111113559263.png]  
并已自定义实现UserDetailService类

@Service("userDetailsService")
    @RequiredArgsConstructor
    @Slf4j
    public class SecurityUserDetailsServiceImpl implements UserDetailsService {
        
    
        private  final UserDao userDao;
        @Override
        public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        
            System.out.println(username);
            User user = userDao.selectByUsername(username);
            if(user==null)
            {
        
                throw new UsernameNotFoundException("用户不存在");
            }
            // 从数据库查到后，给userDetail设定权限
            List<GrantedAuthority> auths =
                    AuthorityUtils.commaSeparatedStringToAuthorityList(user.getRoles());
            user.setAuthorities(auths);
    		
            user.setPassword(new BCryptPasswordEncoder().encode(user.getPassword()));
            return  user;
        }
    }

## 一、使用Config进行权限配置 ##

对Spring Security的配置主要在继承`WebSecurityConfigurerAdapter`类的配置类中。

例如配置自定义登陆界面、退出等，例如

http.formLogin()
                    .usernameParameter("username")
                    .passwordParameter("password")
                        //登录页面设置
                        .loginPage("/Login.html")
                        //登录访问路径
                        .loginProcessingUrl("/user/login")
                        .defaultSuccessUrl("/hello").permitAll()
                    .and().authorizeRequests().antMatchers("/js/**", "/css/**", "/webjars/**").permitAll()
                    .and().authorizeRequests().antMatchers("/","/index","/user/login").permitAll()

对用户权限的实现亦可在继承`WebSecurityConfigurerAdapter`类中配置。

配置主要基于四个方法，为便于理解这四个方法，我们创建相应测试接口,分别定义admin和user接口路径，代表各自访问的资源，admin作为管理员，应能同时访问/admin和/user资源。

/**
     * @author 阳光大男孩！！！
     */
    @RestController
    @Slf4j
    @RequestMapping("/auth")
    public class AuthTestController {
        
        @GetMapping("/admin")
        public String admin() {
        
            return "Hello admin";
        }
        @GetMapping("/user")
        public String user() {
        
            return "Hello user";
        }
    }

那么该如何实现呢？

#### hasAuthority() ####

.and().authorizeRequests().antMatchers("/auth/admin").hasAuthority("admin")

上面代码的意思在于，为拥有权限"admin"的用户，分配访问"/auth/admin"资源的权利，其他用户不可以。

再比如我们可以定义

.and().authorizeRequests().antMatchers("/auth/user").hasAuthority("user")

这样，admin权限用户可以访问`"/auth/admin"`,user用户可以访问`"/auth/user"`，他们互相之间不可以访问彼此的资源。

访问/auth/admin，由于数据库中有一条数据，且角色为admin

![在这里插入图片描述][20210111113559263.png]  
那么，经过登录认证后，可以看到可以顺利访问admin资源。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzg4OTg0MQ_size_16_color_FFFFFF_t_70]  
而/auth/user，则只被拥有user权限的用户所拥有，故本次请求拥有admin权限则被403拒绝。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzg4OTg0MQ_size_16_color_FFFFFF_t_70 1]  
那这显然与我们预先约定好的，admin用户可以访问/user、/admin资源，user可以访问/user资源，不可以访问/admin资源，不一致。

那么怎么实现呢？事实上hasAuthority也可以实现上面的功能,例如

.and().authorizeRequests().antMatchers("/auth/admin").hasAuthority("admin")
    .and().authorizeRequests().antMatchers("/auth/user"). hasAuthority("user")
    .and().authorizeRequests().antMatchers("/auth/user"). hasAuthority("admin")

但之所以我没这么做，是因为有更方便的，下面介绍`hasAnyAuthority()`方法

#### hasAnyAuthority() ####

这里直接上代码，是不是秒懂？

.and().authorizeRequests().antMatchers("/auth/user").hasAnyAuthority("user,admin")

没错，我们可以通过逗号进行分割，使得拥有user或者admin权限的用户都可以访问这一接口资源。就相当于

.and().authorizeRequests().antMatchers("/auth/user"). hasAuthority("user")
    .and().authorizeRequests().antMatchers("/auth/user"). hasAuthority("admin")

#### hasRole() ####

hasRole()与hasAuthority()几乎没有任何区别，使用方式也几乎一样。

.and().authorizeRequests().antMatchers("/auth/admin").hasRole("admin")

不过需要注意的是，在前面使用hasAuthority()实现时，数据库中权限为admin时，我们只需要指定同样的"admin"

.and().authorizeRequests().antMatchers("/auth/user"). hasAuthority("admin")

但在使用hasRole()时，在自定义逻辑实现认证时，授权必须加上`"ROLE_"`

// 设定权限
            List<GrantedAuthority> auths =
                    AuthorityUtils.commaSeparatedStringToAuthorityList("ROLE_"+user.getRoles());
            user.setAuthorities(auths);

这与源码有关，事实上，我们点开hasRole的源码  
![在这里插入图片描述][20210111114012912.png]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzg4OTg0MQ_size_16_color_FFFFFF_t_70 2]  
在上面代码中，他会自动在role权限前加上ROLE\_进行权限比对，所以我们如果数据库中单单是admin，那么需要加上`"ROLE_"`前缀才行，如果数据库中是`"ROLE_admin"`，那则无须。

这便是这两个方法最主要、最应该注意的区别。

#### hasAnyRole() ####

hasAnyRole()和hasAnyAuthority()类似，区别就是前边已介绍的“ROLE\_”前缀区别，这里不再赘述。

## 二、使用注解实现权限配置 ##

前面是使用Config进行配置，同样也可以使用注解进行权限配置，不过，要让注解生效，得开启SpringSecurity的注解，即在启动类加上`@EnableGlobalMethodSecurity(securedEnabled=true,prePostEnabled = true)`

/**
     * @author 阳光大男孩！！！
     */
    @SpringBootApplication
    @EnableGlobalMethodSecurity(securedEnabled=true,prePostEnabled = true)
    public class App {
        
        public static void main(String[] args) {
        
            SpringApplication.run(App.class,args);
        }
    
    }

**@Secured注解**

使用此注解，只要在接口上加上@Secured即可。

/**
     * @author 阳光大男孩！！！
     */
    @RestController
    @Slf4j
    @RequestMapping("/auth")
    public class AuthTestController {
        
        @Secured({
        "ROLE_admin"})
        @GetMapping("/admin")
        public String admin() {
        
            return "Hello admin";
        }
        @Secured({
        "ROLE_admin","ROLE_user"})
        @GetMapping("/user")
        public String user() {
        
            return "Hello user";
        }
    }

在上面我们定义了admin可以访问admin接口、user接口

接下来我们将数据库中的那条数据权限改为普通用户。  
![在这里插入图片描述][20210111115302356.png]  
再次访问admin资源，报403拒绝访问。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzg4OTg0MQ_size_16_color_FFFFFF_t_70 3]

**@PreAuthorize(“hasAnyAuthority(‘admin’)”)**

若在接口服务前加上此注解，代表在执行接口方法前，进行hasAnyAuthority(‘admin’)权限验证。

**@PostAuthorize(“hasAnyAuthority(‘admin’)”)**

若在接口服务前加上此注解，代表在执行接口方法后，进行hasAnyAuthority(‘admin’)权限验证。

使用本注解，主要在于为了在执行接口方法后，再判断是否具有权限的场景。

[20210111113559263.png]: /images/20221119/0c405d732c0445f9a78a3c6615f94907.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzg4OTg0MQ_size_16_color_FFFFFF_t_70]: /images/20221119/d56c0bb954e948709ab1d51a5e0b8e86.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzg4OTg0MQ_size_16_color_FFFFFF_t_70 1]: /images/20221119/452ed35f658d49ea9c455966773541b3.png
[20210111114012912.png]: https://img-blog.csdnimg.cn/20210111114012912.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzg4OTg0MQ_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20210111114040715.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzg4OTg0MQ==,size_16,color_FFFFFF,t_70
[20210111115302356.png]: https://img-blog.csdnimg.cn/20210111115302356.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzg4OTg0MQ_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20210111115237478.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzg4OTg0MQ==,size_16,color_FFFFFF,t_70