铢积寸累，积习沉舟

前言

项目	版别
Boot	2.3.12.RELEASE

官网文档

在前面的两篇文章中，并没有对人物有过多的解释。在正式的系统中，一个用户会具有一个或许多个人物，而不同的人物会具有不同的接口权限。假设要完结这些功用，需求重写WebSecurityConfigurerAdapter中的configure(HttpSecurity http)。HttpSecurity 用于构建一个安全过滤器链 SecurityFilterChain，可以通过它来进行自定义安全访问战略。

项目的搭建，参与依靠就不再论述了，需求的小伙伴可以拉取源代码。

配备如下：


@Bean
PasswordEncoder passwordEncoder() {
    return NoOpPasswordEncoder.getInstance();
}
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
            .withUser("cxyxj")
            .password("123").roles("admin", "user")
            .and()
            .withUser("security")
            .password("security").roles("user");
}
@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()  //打开配备
            .antMatchers("/cxyxj/**").hasRole("admin")   //访问/cxyxj/**下的途径，有必要具有admin身份
            .antMatchers("/security/**").hasRole("user") //访问/security/**下的途径，有必要具有user身份
            .antMatchers("/permitAll").permitAll() // 访问/permitAll途径，不需求登录
            .anyRequest() //其他央求
            .authenticated()//验证   标明其他央求只需求登录就能访问
            .and() 
            .formLogin(); // 打开表单登陆
}

上述配备意义如下：

antMatchers("/cxyxj/**").hasRole("admin")：标明访问/cxyxj/途径的有必要要有 admin 人物。
antMatchers("/security/**").hasRole("user")：标明访问/security/途径的有必要要有 user 人物。
.antMatchers("/permitAll").permitAll()：标明访问/permitAll 途径不需求认证
.anyRequest().authenticated()：标明除了前面定义的url，其他url访问都得认证后才华访问（登录）
and：标明结束其时标签，回到上下文 HttpSecurity，打开新一轮的配备
formLogin：打开表单登陆

依据上述的配备，添加如下接口，代码如下：


@GetMapping("/hello") 
public String hello(){ 
    return "你好 Spring Security"; 
}
@GetMapping("/cxyxj/hello")
public String cxyxj() {
    return "cxyxj 你好 Spring Security";
}
@GetMapping("/security/hello")
public String user() {
    return "user 你好 Spring Security";
}
@GetMapping("/permitAll")
public String permitAll() {
    return "permitAll 你好 Spring Security";
}

按照我们的配备，permitAll接口不需求登录就能访问，cxyxj接口只需admin人物才华访问，security接口admin人物和user人物都能访问，而 hello接口登录就能访问！

这儿就不演示了，各位可以将上述代码 copy 到本地运转一下或许拉取源代码。

授权方法

授权的方法包含 web授权 和 方法授权，web授权是通过 url 拦截进行授权，方法授权是通过方法拦截进行授权。他们都会运用 AccessDecisionManager接口进行授权抉择方案。若为web授权则拦截器为 FilterSecurityInterceptor；若为方法授权则拦截器为MethodSecurityInterceptor。假设一同运用 web 授权和方法授权，则先实行web授权，再实行方法授权，终究抉择方案都通过，则容许访问资源，否则将制止访问。文章开头运用的方法就是 web授权方法。

FilterSecurityInterceptor：底层是 Filter。

MethodSecurityInterceptor：底层是 AOP。

web授权

Spring Security 可以通过 http.authorizeRequests() 打开对 web 央求进行授权保护。

http.formLogin();
http.authorizeRequests()
        .antMatchers("/permitAll").permitAll() // 访问/permitAll途径，不需求认证
        .anyRequest()   //其他央求
        .authenticated(); //需求认证才华访问

url匹配

antMatchers()

方法定义如下：

antMatchers(String... antPatterns) {}

参数是可变长参数，每个参数是一个 ant 表达式，用于匹配 URL规则。

ANT通配符有三种：

通配符	说明
?	匹配任何单字符
*	匹配0个或许任意数量的字符
**	匹配0个或许任意目录

// 访问 /cxyxj/** 途径，任意目录下 .js 文件 可以直接访问
.antMatchers("/cxyxj/**","/**/*.js").permitAll()

运用 antMatchers 方法需求留意配备规则的次第，配备次第会影响授权的作用，越是具体的应该放在前面，越是抽象的应该放到后面。 由于 Spring Security 在匹配的时分是按照从上往下的次第来匹配，一旦匹配成功就不持续匹配了。

如下差错示例：

.antMatchers("/cxyxj/**").hasRole("ADMIN")
.antMatchers("/cxyxj/login").permitAll()

如上配备会导致访问/cxyxj/login接口时需求具有ADMIN人物才华访问。

regexMatchers

运用正则表达式进行匹配。

//全部以.js 结束的文件都被放行 
.regexMatchers( ".+[.]js").permitAll()

无论是 antMatchers() 仍是 regexMatchers() 都具有两个参数的方法，其间第一个参数都是 HttpMethod ，标明央求方法，当设置了 HttpMethod 后标明只需设定的央求方法才实行对应的权限验证。

.antMatchers(HttpMethod.GET,"/cxyxj/hello").permitAll()
.regexMatchers(HttpMethod.GET,".+[.]jpg").permitAll()

anyRequest

匹配全部的央求。该方法一般会放在终究。结合 authenticated运用，标明全部央求需求认证才华访问。

.anyRequest().authenticated()

mvcMatchers

适用于配备了 mvcServletPath 的情况。 mvcServletPath 就是全部的 URL 的共同前缀。在 application.properties 中添加下面内容。

spring.mvc.servlet.path= /role

正例

在 Spring Security 的配备类中配备 .servletPath() 是 mvcMatchers() 特有的方法， antMatchers()和 regexMatchers() 没有这个方法。在 servletPath() 中配备了 servlet.path 后， mvcMatchers() 直接写 @RequestMapping()中设置的途径即可。

.mvcMatchers("/cxyxj/**").servletPath("/role").permitAll()

反例

.mvcMatchers("/role/cxyxj/**").permitAll()

是不是发现运用了 mvcMatchers() 更麻烦了，所以也可以运用 antMatchers()。

.antMatchers("/role/cxyxj/**").permitAll()

假设你在项目中还配备了项目根途径。

server.servlet.context-path=/ctx-path

在SecurityConfig中不需求答理，你只需求批改你的央求接口途径。

配备

.mvcMatchers("/cxyxj/**").servletPath("/role").permitAll()

央求接口途径

http://localhost:8080/ctx-path/role/cxyxj/hello

调试完结之后请将properties文件的配备进行注释！以下示例代码不运用配备文件。

RequestMatcher接口

上述的几种匹配方法都是 RequestMatcher 接口的子完结。接口定义了matches方法，方法假设回来 true 标明供应的央求与供应的匹配规则匹配，假设回来的是 false 则不匹配。 Spring Security 内置供应了一些 RequestMatcher 完结类：

内置操作

上文仅仅将央求接口途径与配备的规则进行匹配，那匹配成功之后应该进行什么操作呢？Spring Security 内置了一些操控操作。

permitAll() 方法，全部用户可访问。
denyAll() 方法，全部用户不可访问。
authenticated() 方法，登录用户可访问。
anonymous() 方法，匿名用户可访问。
rememberMe() 方法，通过 remember me 登录的用户可访问。
fullyAuthenticated() 方法，非 remember me 登录的用户可访问。
hasIpAddress(String ipaddressExpression) 方法，来自指定 IP 表达式的用户可访问。
hasRole(String role) 方法，具有指定人物的用户可访问，传入的人物将被自动添加 “ROLE_” 前缀。
hasAnyRole(String… roles) 方法，具有指定任意人物的用户可访问。传入的人物将被自动添加 “ROLE_” 前缀。
hasAuthority(String authority) 方法，具有指定权限( authority )的用户可访问,需求手动传入“ROLE_” 前缀。
hasAuthority(String… authorities) 方法，具有指定任意权限( authority )的用户可访问,需求手动传入“ROLE_” 前缀。
access(String attribute) 方法，上面全部方法的底层完结，当 Spring EL 表达式的实行效果为 true 时，可以访问。

运用用法如下：

http.formLogin();
http.authorizeRequests()
  // 假设用户具有 admin 权限，就容许访问。
  .antMatchers("/cxyxj/**").hasAuthority("ROLE_admin")
  // 假设用户具有给定权限中某一个，就容许访问。
  .antMatchers("/admin/demo").hasAnyAuthority("ROLE_admin", "ROLE_System")
  // 假设用户具有 user 权限，就容许访问。留意不需求手动写 ROLE_ 前缀，写了会报错
  .antMatchers("/security/**").hasRole("user")
  //假设央求是指定的 IP 就容许访问。
  .antMatchers("/admin/demo").hasIpAddress("192.168.64.5").anyRequest() //其他央求
  .authenticated(); //需求认证才华访问

这儿独自介绍一下 access(表达式）。表达式的基类是SecurityExpressionRoot，供应了一些通用表达式，如下：

表达式	描述
hasRole(String role)	其时用户是否具有指定人物。具有则可以访问。
hasAnyRole(String… roles)	其时用户是否具有指定人物中的任意一个，具有则可以访问。
hasAuthority(String authority)	具有指定权限( authority )的用户可访问。
hasAnyAuthority(String… authorities)	具有指定任一权限( authority )的用户可访问。
getPrincipal	取得其时用户，或许是一个用户名，也或许是一个用户方针。
getAuthentication	获取其时Authentication方针（认证方针）。
permitAll	总是回来true，标明容许全部用户访问。
denyAll	总是回来false，标明回绝全部用户访问。
isAnonymous()	是否是一个匿名用户，假设是则容许访问。
isRememberMe()	用户是否是通过Remember-Me自动登录，假设是则容许访问。
isAuthenticated()	用户是否登录认证成功，假设是则容许访问。
isFullyAuthenticated()	假设其时用户不是一个匿名用户，又不是通过Remember-Me自动登录的，则容许访问。（手动输入帐户信息认证）。

可以运用 access() 完结相同的功用。

.antMatchers("/cxyxj/**").access("hasAuthority('ROLE_admin')")
.antMatchers("/permitAll").access("isAnonymous")

自定义方法（重要）

尽管内置了许多的表达式，但是在实践项目中，用的很少，并且很有或许不能满意需求。所以需求自定义逻辑的情况。比如判别其时登录用户是否具有访问其时 URL 的权限！

import org.springframework.security.core.Authentication;
import org.springframework.security.core.userdetails.User;
import org.springframework.stereotype.Component;
import org.springframework.util.AntPathMatcher;
import javax.servlet.http.HttpServletRequest;
import java.util.HashMap;
import java.util.HashSet;
import java.util.Set;
@Component
public class MyAccess {
// 只需求登录就能访问的接口地址
    private static final Set<String> URL = new HashSet<>();
 // 需求区别人物的接口地址  用户称谓：接口地址
    private static final HashMap<String,Set<String>> URL_MAP = new HashMap();
    static {
        URL.add("/hello");
        Set<String> cxyxjSet = new HashSet<>();
        cxyxjSet.add("/cxyxj/hello");
        cxyxjSet.add("/security/hello");
        URL_MAP.put("cxyxj",cxyxjSet);
        Set<String> securitySet = new HashSet<>();
        securitySet.add("/security/hello");
        URL_MAP.put("security",securitySet);
    }
   public boolean hasPermit(HttpServletRequest req, Authentication auth){
       Object principal = auth.getPrincipal();
       // 假设为匿名用户，则直接回来 false
        if(principal.toString().equals("anonymousUser")){
           return false;
        }
       String servletPath = req.getRequestURI();
       AntPathMatcher matcher = new AntPathMatcher();
       // 有一些接口是不需求权限，只需登录就能访问的，比如一些省市区接口
       boolean result = URL.stream().anyMatch(url -> matcher.match(url, servletPath));
       if(result){
           return true;
       }
       //这儿运用的是定义在内存的用户信息
       if(principal instanceof User){
           User user = (User) principal;
           // 可以依据用户id或许用户名从redis中取得用户具有的菜单权限url
           String username = user.getUsername();
           Set<String> urlSet = URL_MAP.get(username);
           return urlSet.stream().anyMatch(u -> matcher.match(u, servletPath));
       }
       return false;
   }
}

配备

 @Override
   protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()  //打开配备
                .antMatchers("/permitAll").permitAll()  // 访问/permitAll途径，不需求登录
                .anyRequest().access("@myAccess.hasPermit(request,authentication)")
                //.anyRequest() //其他央求
                //.authenticated()//验证   标明其他央求只需求登录就能访问
                .and()
                .formLogin();
    }

运用这种方法，authenticated() 就不需求加了。由于全部的央求都会通过 myAccess.hasPermit的验证。access表达式的写法为 @符号 + Bean称谓.方法(参数…)

添加接口，该接口谁都不能访问。

 @GetMapping("/denyAll")
 public String denyAll() {
     return "denyAll 你好 Spring Security";
 }

检验登录 cxyxj用户：可以访问/cxyxj/hello、/security/hello、hello、permitAll接口。不能访问 denyAll接口。

通过，自定义方法的方法，完结了依据人物动态操控接口资源访问权限。以上都是归于 Web 方法授权，运用的是 FilterSecurityInterceptor。

方法授权

Spring Security在方法的权限操控上支撑三种类型的注解，JSR-250注解、@Secured注解、支撑表达式注解。这三种注解默认都是没有启用的，需求运用@EnableGlobalMethodSecurity来进行启用。

1、JSR250E

在 @EnableGlobalMethodSecurity 设置 jsr250Enabled 为 true ，就打开了以下三个安全注解：

@RolesAllowed：标明访问对应方法时应该具有所指定的人物。示例:@RolesAllowed({"user", "admin"})，标明该方法只需具有”user”, “admin”任意一种权限就可以访问。可以省掉前缀ROLE_不写。该注解可以标明在类上，也可以标明在方法上，当标明在类上时标明类中全部方法的实行都需求对应的人物，当标明在方法上标明实行该方法时所需求的人物，当方法和类上都标明了@RolesAllowed，则方法上的@RolesAllowed将掩盖类上的@RolesAllowed。
@PermitAll 标明容许全部的人物进行访问。@PermitAll可以标明在方法上也可以标明在类上，当标明在方法上时则只对对应方法不进行权限操控，而标明在类上时标明对类里边全部的方法都不进行权限操控。
- （1）当 @PermitAll 标明在类上，而 @RolesAllowed 标明在方法上时，@RolesAllowed 将掩盖 @PermitAll，即需求 @RolesAllowed 对应的人物才华访问。
- （2）当 @RolesAllowed 标明在类上，而 @PermitAll 标明在方法上时则对应的方法不进行权限操控。
- （3）当在类和方法上一同运用了@PermitAll 和 @RolesAllowed 时，先定义的将发生作用。
@DenyAll 标明什么人物都不能访问。@DenyAll可以标明在方法上也可以标明在类上，当标明在方法上时则只对对应方法进行权限操控，而标明在类上时标明对类里边全部的方法都进行权限操控。

供应检验接口

将原本处于 HelloController 类中的接口注释掉，copy 一份到 HelloController2 类中，并作如下批改：

@GetMapping("/hello")
public String hello(){
    return "你好 Spring Security";
}
@GetMapping("/cxyxj/hello")
@RolesAllowed({"admin"})
public String cxyxj() {
    return "cxyxj 你好 Spring Security";
}
@GetMapping("/security/hello")
@RolesAllowed({"user"})
public String user() {
    return "user 你好 Spring Security";
}
@GetMapping("/denyAll")
@DenyAll
public String denyAll() {
    return "denyAll 你好 Spring Security";
}
@GetMapping("/permitAll")
@PermitAll
public String permitAll() {
    return "permitAll 你好 Spring Security";
}

SecurityConfig2

@Configuration
@EnableGlobalMethodSecurity(jsr250Enabled = true)
public class SecurityConfig2 extends WebSecurityConfigurerAdapter {
    @Bean
    PasswordEncoder passwordEncoder() {
        return NoOpPasswordEncoder.getInstance();
    }
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("cxyxj")
                .password("123").roles("admin", "user")
                .and()
                .withUser("security")
                .password("security").roles("user");
    }
  @Override
   protected void configure(HttpSecurity http) throws Exception {
       http.formLogin();
   }
}

/cxyxj/hello接口需求有 admin人物才华访问，/security/hello接口需求有 user人物才华访问,denyAll接口不容许访问，permitAll 接口不需求登录就能访问。由于 hello接口没有做什么处理，所以hello接口不需求登录也能访问。

各位是不是发现 configure(HttpSecurity http)方法中只配备了 http.formLogin()。我为什么没有配备其他的呢？这是由于当配备 .authorizeRequests().anyRequest().authenticated()之后，全部方法需求认证之后才华访问。该配备与 @PermitAll注解发生了抵触。

开篇提到过：若为web授权则拦截器为 FilterSecurityInterceptor；若为方法授权则拦截器为MethodSecurityInterceptor。假设一同运用web 授权和方法授权，则先实行web授权，再实行方法授权，终究抉择方案通过，则容许访问资源，否则将制止访问。当配备.authorizeRequests().anyRequest().authenticated()之后，相当于一同运用 web 授权和方法授权，然后被 web 授权拦截了，所以 @PermitAll 并没有生效。当然实践项目中， @PermitAll一般不会运用，可以运用web授权方法进行配备放行。

2、secured

在 @EnableGlobalMethodSecurity 设置 securedEnabled 为 true ，就打开了以下注解：

@Secured 是由 Spring Security 定义的，用来支撑方法权限操控的注解。@Secured 专门用于判别是否具有指定人物的，可以写在方法或类上。参数需求手动指定 “ROLE_” 前缀。

SecurityConfig

@EnableGlobalMethodSecurity(jsr250Enabled = true,securedEnabled = true)

供应检验接口

@GetMapping("/secured")
@Secured({"ROLE_admin"})
public String secured() {
    return "secured 你好 Spring Security";
}

3、表达式

Spring Security 中定义了四个支撑运用表达式的注解，分别是 @PreAuthorize、@PostAuthorize、 @PreFilter 和 @PostFilter。其间前两者可以用来在方法调用前或许调用后进行权限检查，后两者可以用来对集结类型的参数或许回来值进行过滤。接下来演示一下运用方法，首要我们先来打开注解，在 @EnableGlobalMethodSecurity 设置 prePostEnabled 为 true 。

SecurityConfig

@EnableGlobalMethodSecurity(jsr250Enabled = true,securedEnabled = true,prePostEnabled = true)

@PreAuthorize

最被常用的注解为@PreAuthorize。在方法调用前进行权限检查，效果为 true 则可以实行！可以在类或许方法上进行标明。注解参数与 access方法参数共同，也就是说可以运用内置方法和Spring-EL表达式。

// 只需人物为  admin 或许 user才华访问
@PreAuthorize("hasRole('admin') or hasRole('user')")
@GetMapping("/preAuthorize")
public String preAuthorize(){
    return "PreAuthorize 你好 Spring Security";
}
//Id大于1才华查询
// 按称谓访问任何方法参数作为表达式变量
@PreAuthorize("#id>1")
@GetMapping("/findById/{id}")
public Integer findById(@PathVariable("id") Integer id) {
  return id;
}
// 束缚只能查询自己的信息
// principal 值通常是 UserDetails 实例
@PreAuthorize("principal.username.equals(#username)")
@GetMapping("/findByName/{username}")
public String findByName(@PathVariable("username") String username) {
    return username;
}
//束缚只能新增用户称谓为abc的用户
@PreAuthorize("#username.equals('abc')")
@GetMapping("/add/{username}")
public String add(@PathVariable("username") String username) {
    return username;
}

运用以下接口检验：

http://localhost:8080/preAuthorize
http://localhost:8080/findById/1
http://localhost:8080/findById/2
http://localhost:8080/findByName/cxyxj
http://localhost:8080/findByName/security
http://localhost:8080/add/security
http://localhost:8080/add/abc

@PostAuthorize

这个注解运用的很少，当然或许某些需求需求运用。比如需求校验该方法的回来值，这可以运用 @PostAuthorize 注解来完结。要访问方法的回来值，请运用内置表达式 returnObject。

@PostAuthorize("returnObject.id%2==0")
    @GetMapping("/find/{id}")
    public SysUser find(@PathVariable("id") Integer id) {
        SysUser sysUser = new SysUser();
        sysUser.setId(id);
        User principal = (User)SecurityContextHolder.getContext().getAuthentication().getPrincipal();
        sysUser.setUsername(principal.getUsername());
        return sysUser;
}
public class SysUser {
    private Integer id;
    private String username;
   // 省掉。。。
}

在方法调用完结后进行权限检查，假设回来值的id是偶数则标明校验通过，否则标明校验失利，将抛出AccessDeniedException。@PostAuthorize是在方法调用完结后进行权限检查，它不能操控方法是否能被调用，只能在方法调用完结后，检查权限然后决定是否要抛出AccessDeniedException异常。

@PreFilter

对集结、数组类型的央求参数进行过滤，移除效果为false的元素。该过程发生在接口接收参数之前,可以运用内置表达式 filterObjec 进行数据过滤，filterObjec 标明集结中的其时方针。假设有多个集结参数需求通过 filterTarget=<参数名> 来指定过滤的集结。

// id 大于 1 的才进行查询
@PreFilter("filterObject > 1")
@PostMapping("/find")
public List<Integer> batchGetInfo(@RequestParam("ids") ArrayList<Integer> ids) {
    return ids;
}

多个集结参数需求通过 filterTarget=<参数名> 来指定。如下：

// id 大于 1 的才进行查询
@PreFilter(filterTarget = "ids",value = "filterObject > 1")
@PostMapping("/batchGetInfo")
public List<Integer> batchGetInfo(@RequestParam("ids") ArrayList<Integer> ids,@RequestParam("ids2")ArrayList<Integer> ids2) {
    return ids;
}

@PostFilter

@PostFilter可以对集结、数组类型的回来值进行过滤！

// 将效果集为偶数的值进行回来
@PostFilter("filterObject % 2 == 0")
@GetMapping("/findAll")
public List<Integer> findAll() {
    List<Integer> userList = new ArrayList<>();
    for (int i=0; i<10; i++) {
        userList.add(i);
    }
    return userList;
}

我正在参与技能社区创作者签约方案招募活动，点击链接报名投稿。

如你对本文有疑问或本文有差错之处，欢迎谈论留言指出。如觉得本文对你有所帮助，欢迎点赞和重视。

Spring Security 权限控制

前言

授权方法

web授权

url匹配

antMatchers()

regexMatchers

anyRequest

mvcMatchers

RequestMatcher接口

内置操作

自定义方法（重要）

方法授权

1、JSR250E

供应检验接口

SecurityConfig2

2、secured

SecurityConfig

供应检验接口

3、表达式

SecurityConfig

@PreAuthorize

@PostAuthorize

@PreFilter

@PostFilter

作者信息

Spring Security 权限控制

前言

授权方法

web授权

url匹配

antMatchers()

regexMatchers

anyRequest

mvcMatchers

RequestMatcher接口

内置操作

自定义方法（重要）

方法授权

1、JSR250E

供应检验接口

SecurityConfig2

2、secured

SecurityConfig

供应检验接口

3、表达式

SecurityConfig

@PreAuthorize

@PostAuthorize

@PreFilter

@PostFilter

相关文章

落地 Kotlin 代码规范，DeteKt 了解一下~

6个小技巧，帮助职场新人培养项目管理能力

Git工作流之集中式工作流

【Gradle-7】Gradle构建核心之Task指南

作者信息