SpringBoot + SpringSecurity 控制授权

2024-09-07 15:18

本文主要是介绍SpringBoot + SpringSecurity 控制授权,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

授权简介

一般的人会认为,不同的角色登录进同一个系统,根据角色权限的不同,看到的菜单不同就是控制授权。其实并不是的,菜单的是否显示只是前端交互上的一个设计而已,真正需要授权的地方的接口的访问。

普通的系统通常会有两个端,一个是给用户用的业务系统(比如购物商城的买家端),一个是给公司运营人员用的管理端(可以统计销售量,用户量等信息)。
业务端的权限通常比较简单,可以区分为是否登录,或者简单的角色区分(比如普通用户,VIP用户)。管理端就相对复杂了,公司越大角色就越多,权限就分得越细致。

是否登录授权

之前在 SpringBoot + Spring Security 基本使用及个性化登录配置中提到了普通的用户登录,这里就配置了几个接口是可以不用登录就访问的。这里就不做过多的 介绍了

简单角色的区分

同样是在自己继承了AbstractChannelSecurityConfig类的configure方法中配置

@Configuration
public class BrowerSecurityConfig extends AbstractChannelSecurityConfig {http.authorizeRequests()        // 定义哪些URL需要被保护、哪些不需要被保护.antMatchers("/user/regist", "/session/invalid").permitAll()                // 设置所有人都可以访问的接口.antMatchers("/user").hasRole("ADMIN")  // user接口只有ADMIN角色的可以访问.anyRequest()               // 其他任何请求,登录后可以访问.authenticated().and()
}

这里主要通过antMatchershasRole搭配使用,进行角色权限的控制,那么角色权限是在哪里赋值的呢? 是在登录管理那儿

@Component
public class MyUserDetailsService implements UserDetailsService {
@Overridepublic UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {// 演示用,随便给一个passwordString password = "123456";// 参数分别是:用户名,密码,用户权限User user = new User(username, password, AuthorityUtils.commaSeparatedStringToAuthorityList("ROLE_ADMIN));return user;}
}

AuthorityUtils.commaSeparatedStringToAuthorityList接受一个字符串数组,里面就是用户的角色,比如在上面hasRole里配置的是”ADMIN”,则这里需要传入”ROLE_ADMIN”,ADMIN是要区分大小写的。

在使用restfulAPI的时候,接口地址是一样,但是请求方法不一样,这个时候antMatchers里还可以配置请求方法

// 此时POST方法会需要角色权限
antMatchers(HttpMethod.POST, "/user").hasRole("ADMIN")

复杂角色权限 以及 权限表达式

之前的权限配置都是直接通过代码写在配置中的
当面对有复杂角色的时候,一般是把角色与权限放在数据库中的。这个时候一般会涉及到五个数据库表,分别是:用户表、角色表、权限表,用户与角色中间表,角色与权限中间表。

这里我们模拟一个从数据库中根据当前帐号获取权限的示例

@Component("rbacPermission")
public class RbacPermission {private AntPathMatcher antPathMatcher = new AntPathMatcher();public boolean hasPermission(HttpServletRequest request, Authentication authentication) {Object principal = authentication.getPrincipal();boolean hasPermission = false;if(principal instanceof UserDetails) {String username = ((UserDetails) principal).getUsername();// 读取用户所拥有的权限url,这里应该从数据库获取Set<String> urls = new HashSet<>();for (String url : urls) {// 判断当前url是否有权限if(antPathMatcher.match(url, request.getRequestURI())) {hasPermission = true;break;}}}return hasPermission;}
}

接下来就是配置一下了

http.authorizeRequests().anyRequest().access("@rbacPermission.hasPermission(request, authentication)");

access中的就是权限表达式

需要注意的是,anyRequest()需要放在最后

代码下载

Spring-Security

这篇关于SpringBoot + SpringSecurity 控制授权的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/1145409

相关文章

Java中StopWatch的使用示例详解

《Java中StopWatch的使用示例详解》stopWatch是org.springframework.util包下的一个工具类,使用它可直观的输出代码执行耗时,以及执行时间百分比,这篇文章主要介绍... 目录stopWatch 是org.springframework.util 包下的一个工具类,使用它

Java进行文件格式校验的方案详解

《Java进行文件格式校验的方案详解》这篇文章主要为大家详细介绍了Java中进行文件格式校验的相关方案,文中的示例代码讲解详细,感兴趣的小伙伴可以跟随小编一起学习一下... 目录一、背景异常现象原因排查用户的无心之过二、解决方案Magandroidic Number判断主流检测库对比Tika的使用区分zip

Java实现时间与字符串互相转换详解

《Java实现时间与字符串互相转换详解》这篇文章主要为大家详细介绍了Java中实现时间与字符串互相转换的相关方法,文中的示例代码讲解详细,感兴趣的小伙伴可以跟随小编一起学习一下... 目录一、日期格式化为字符串(一)使用预定义格式(二)自定义格式二、字符串解析为日期(一)解析ISO格式字符串(二)解析自定义

Java使用Curator进行ZooKeeper操作的详细教程

《Java使用Curator进行ZooKeeper操作的详细教程》ApacheCurator是一个基于ZooKeeper的Java客户端库,它极大地简化了使用ZooKeeper的开发工作,在分布式系统... 目录1、简述2、核心功能2.1 CuratorFramework2.2 Recipes3、示例实践3

Springboot处理跨域的实现方式(附Demo)

《Springboot处理跨域的实现方式(附Demo)》:本文主要介绍Springboot处理跨域的实现方式(附Demo),具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不... 目录Springboot处理跨域的方式1. 基本知识2. @CrossOrigin3. 全局跨域设置4.

springboot security使用jwt认证方式

《springbootsecurity使用jwt认证方式》:本文主要介绍springbootsecurity使用jwt认证方式,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地... 目录前言代码示例依赖定义mapper定义用户信息的实体beansecurity相关的类提供登录接口测试提供一

Spring Boot 3.4.3 基于 Spring WebFlux 实现 SSE 功能(代码示例)

《SpringBoot3.4.3基于SpringWebFlux实现SSE功能(代码示例)》SpringBoot3.4.3结合SpringWebFlux实现SSE功能,为实时数据推送提供... 目录1. SSE 简介1.1 什么是 SSE?1.2 SSE 的优点1.3 适用场景2. Spring WebFlu

基于SpringBoot实现文件秒传功能

《基于SpringBoot实现文件秒传功能》在开发Web应用时,文件上传是一个常见需求,然而,当用户需要上传大文件或相同文件多次时,会造成带宽浪费和服务器存储冗余,此时可以使用文件秒传技术通过识别重复... 目录前言文件秒传原理代码实现1. 创建项目基础结构2. 创建上传存储代码3. 创建Result类4.

Java利用JSONPath操作JSON数据的技术指南

《Java利用JSONPath操作JSON数据的技术指南》JSONPath是一种强大的工具,用于查询和操作JSON数据,类似于SQL的语法,它为处理复杂的JSON数据结构提供了简单且高效... 目录1、简述2、什么是 jsONPath?3、Java 示例3.1 基本查询3.2 过滤查询3.3 递归搜索3.4

Tomcat版本与Java版本的关系及说明

《Tomcat版本与Java版本的关系及说明》:本文主要介绍Tomcat版本与Java版本的关系及说明,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录Tomcat版本与Java版本的关系Tomcat历史版本对应的Java版本Tomcat支持哪些版本的pythonJ