在 Spring Security 中分离角色和权限

超、凢脫俗 2023-09-27 10:48 110阅读 0赞

### 介绍 ###

分离角色和权限的目的是避免在代码中嵌入安全策略决策。此类决策应在运行时设置，因为它们因客户而异，随时间而变化，有时需要立即更改（例如，响应安全漏洞）。

### 例子 ###

例如，考虑以下规则之间的区别：  
\[code lang=”java”\]@PreAuthorize(  
"hasAnyRole('ROLE\_STUDENT', 'ROLE\_FACULTY\_MEMBER', 'ROLE\_ADMIN')")  
public Forum getForum(long id)\{ ... \}\[ /code\]  
还有这个：  
\[code lang=”java”\]@PreAuthorize("hasRole('PERM\_READ\_FORUMS')")  
public Forum getForum(long id) \{ ... \}\[/code\]  
当有人决定教助理、家长、教师培训师、认证人或任何数量的其他角色应该获得访问权限，或者其中一个角色应该失去访问权限（例如，仅限教师的论坛）。使用该软件的不同客户的角色可能不同，并且许多角色甚至可能对某些客户没有任何意义。

面对这种变化，第二条规则更有弹性，因为它本质上说，如果用户通常具有对论坛的阅读访问权限，则他可以获得给定的论坛。该规则并不完美——我们可能会决定不存在“一般论坛的阅读权限”之类的东西（也就是说，访问权限存在于逐个论坛的基础上）——但显然它更加灵活，尤其是如果我们可以在代码本身之外建立角色和权限之间的关系。我们当然可以做到。

因此，作为一般规则，与基于角色的规则相比，更喜欢基于权限的规则。这条规则有例外，但它作为一般规则成立。

Spring Security 3 在以上述方式分离角色和权限的问题上显得精神分裂。ROLE\_STUDENT、PERM\_READ\_FORUMS 等的底层接口称为 GrantedAuthority，这听起来像是“权限”而不是“角色”的一种奇特方式。但是 Spring Security 参考文档中的示例倾向于将授予的权限视为角色，甚至 hasRole() 和 hasAnyRole() 谓词也引导我们直接使用角色，由于已经给出的原因，这充其量是一个值得怀疑的做法。

![68f5e5dd294e4de1857c3b4df9b04800.jpeg][]

图 1 将角色与权限分开的用户模式。

抛开明显的精神分裂症不谈，Spring Security 让做正确的事情变得容易。例如，示例代码使用图 1.2 中的 user/role/permission 模式支持的自定义 UserDetailsService sip07-schema-mysql.sql 脚本（可[在此处][Link 1]获得）包含此模式，但这只是一个示例。即使您使用的是 JdbcDaoImpl 而不是自定义的 UserDetailsService，您也可以利用 Spring Security 组模式来分离角色和权限。

除了模式之外，我们还需要一些示例数据，以便我们可以实际测试安全配置。图 2 显示了我们的每个示例用户所拥有的角色和权限，这些角色和权限包含在 sip07-data-mysql.sql 脚本中。

![9b6af3a9f5454d82a34431c17cf001e7.jpeg][]

图 2 示例应用程序的用户、角色和权限

这就是我们的源代码更改。现在我们需要“激活”安全注释。为此，我们在 beans-security.xml 配置中添加一行：  
\[code lang=”java”\]<global-method-security pre-post-annotations="enabled" />\[/code\]  
我们已经启用 Spring Security 的前注和后注，默认禁用，因为它们允许我们使用 SpEL 以优雅的方式定义访问规则。这是 Spring Security 3 中的首选方法。但是，为了完整起见，我们列出了其他几个选项：

*  jsr250-annotations=”enabled”：激活标准的 JSR 250 安全注解。尽管这些是标准的，但它们只支持简单的基于角色的规则，并且不如 Spring Security 的 pre/post 注释那么强大。这些默认情况下被禁用。
 *  secure-annotations=”enabled”：支持 Spring 遗留的 @Secured 注解。最初被 JSR 250 @RolesAllowed 注解取代，现在被 Spring Security @PreAuthorize 注解取代。@Secured 默认禁用。

那是基于注释的配置。要试用安全注释，请尝试以下操作：

*  启动应用程序并单击论坛链接。Spring Security 将强制登录，因为对 getForums() 的调用需要 PERM\_READ\_FORUMS 权限。
 *  以用户 daniel/p@ssword 登录。他只有学生角色。
 *  进入其中一个论坛并尝试阻止消息。您应该在对话框中收到一条错误消息，因为 ForumServiceImpl.setMessageVisible() 方法需要 PERM\_ADMIN\_MESSAGES 权限，而学生角色没有该权限。
 *  尝试编辑和删除消息。您将能够获得编辑页面和删除确认框，但是当您尝试实际保存编辑或确认删除时会出现错误消息，因为学生角色没有所需的PERM\_UPDATE\_MESSAGES和PERM\_DELETE\_MESSAGES权限.
 *  注销，然后在 juan/p@ssword 下重新登录。用户 juan 具有管理员角色。尝试相同的操作。您应该能够执行所有这些，因为管理员角色具有所需的权限。

### 概括 ###

我们创建了授权规则并将它们应用于 Java 方法。我们向您展示了为什么我们使用 hasRole() 谓词来检查权限，因为角色和权限不是一回事。一个角色通常需要一组权限。例如，发布工程师角色可能有权将软件包部署到服务器。

[68f5e5dd294e4de1857c3b4df9b04800.jpeg]: https://img-blog.csdnimg.cn/68f5e5dd294e4de1857c3b4df9b04800.jpeg
[Link 1]: http://www.manning.com/wheeler/SIP_sourcecode.zip
[9b6af3a9f5454d82a34431c17cf001e7.jpeg]: https://img-blog.csdnimg.cn/9b6af3a9f5454d82a34431c17cf001e7.jpeg