SpringBoot + SpringSecurity 控制授权

授权简介

一般的人会认为，不同的角色登录进同一个系统，根据角色权限的不同，看到的菜单不同就是控制授权。其实并不是的，菜单的是否显示只是前端交互上的一个设计而已，真正需要授权的地方的接口的访问。

普通的系统通常会有两个端，一个是给用户用的业务系统（比如购物商城的买家端），一个是给公司运营人员用的管理端（可以统计销售量，用户量等信息）。
业务端的权限通常比较简单，可以区分为是否登录，或者简单的角色区分（比如普通用户，VIP用户）。管理端就相对复杂了，公司越大角色就越多，权限就分得越细致。

是否登录授权

之前在 SpringBoot + Spring Security 基本使用及个性化登录配置中提到了普通的用户登录，这里就配置了几个接口是可以不用登录就访问的。这里就不做过多的 介绍了

简单角色的区分

同样是在自己继承了AbstractChannelSecurityConfig类的configure方法中配置

@Configuration
public class BrowerSecurityConfig extends AbstractChannelSecurityConfig {
    http.authorizeRequests()        // 定义哪些URL需要被保护、哪些不需要被保护
        .antMatchers("/user/regist", "/session/invalid")
        .permitAll()                // 设置所有人都可以访问的接口
        .antMatchers("/user").hasRole("ADMIN")  // user接口只有ADMIN角色的可以访问
        .anyRequest()               // 其他任何请求,登录后可以访问
        .authenticated()
        .and()
}

这里主要通过antMatchers和hasRole搭配使用，进行角色权限的控制，那么角色权限是在哪里赋值的呢？ 是在登录管理那儿

@Component
public class MyUserDetailsService implements UserDetailsService {
@Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 演示用，随便给一个password
        String password = "123456";
        // 参数分别是：用户名，密码，用户权限
        User user = new User(username, password, AuthorityUtils.commaSeparatedStringToAuthorityList("ROLE_ADMIN));
        return user;
    }
}

AuthorityUtils.commaSeparatedStringToAuthorityList接受一个字符串数组，里面就是用户的角色，比如在上面hasRole里配置的是”ADMIN”，则这里需要传入”ROLE_ADMIN”，ADMIN是要区分大小写的。

在使用restfulAPI的时候，接口地址是一样，但是请求方法不一样，这个时候antMatchers里还可以配置请求方法

// 此时POST方法会需要角色权限
antMatchers(HttpMethod.POST, "/user").hasRole("ADMIN")

复杂角色权限 以及 权限表达式

之前的权限配置都是直接通过代码写在配置中的
当面对有复杂角色的时候，一般是把角色与权限放在数据库中的。这个时候一般会涉及到五个数据库表，分别是：用户表、角色表、权限表，用户与角色中间表，角色与权限中间表。

这里我们模拟一个从数据库中根据当前帐号获取权限的示例

@Component("rbacPermission")
public class RbacPermission {

    private AntPathMatcher antPathMatcher = new AntPathMatcher();

    public boolean hasPermission(HttpServletRequest request, Authentication authentication) {
        Object principal = authentication.getPrincipal();
        boolean hasPermission = false;
        if(principal instanceof UserDetails) {
            String username = ((UserDetails) principal).getUsername();
            // 读取用户所拥有的权限url，这里应该从数据库获取
            Set<String> urls = new HashSet<>();

            for (String url : urls) {
                // 判断当前url是否有权限
                if(antPathMatcher.match(url, request.getRequestURI())) {
                    hasPermission = true;
                    break;
                }
            }
        }
        return hasPermission;
    }
}

接下来就是配置一下了

http.authorizeRequests()
     .anyRequest()
     .access("@rbacPermission.hasPermission(request, authentication)");

access中的就是权限表达式

需要注意的是，anyRequest()需要放在最后

代码下载

Spring-Security