Spring Security基于角色的权限管理

1.Spring Security

1.1核心领域概念

• 认证（Authentication）：认证是建立主体（principal）的过程。
• 主体通常是指在应用程序中执行操作的用户、设备或其他系统
• 授权（authorization）：或称为访问控制（access-control）
• 授权是指决定是否允许在应用程序中执行操作

1.2基于角色的权限管理

• 代表一系列行为或责任的实体
• 限定能做什么、不能做什么
• 通常用户账号与角色相关联
• RBAC:基于角色的访问控制（Pole-Based Access Control）
• 隐式访问控制

if (user.hasRole("Project Manager")){
    //显示报表按钮
}else{
    //不显示报表按钮
}

• 显式访问控制

if (user.isPermitted("projectReport:view:123456")){
    //显示报表按钮
}else{
    //不显示报表按钮
}

• 解决方案

  • Apache Shiro

  • Spring Security

1.3核心功能