Spring Security是一個(gè)能夠?yàn)榛赟pring的企業(yè)應(yīng)用系統(tǒng)提供聲明式的安全訪問控制解決方案的安全框架。它提供了一組可以在Spring應(yīng)用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反轉(zhuǎn)Inversion of Control ,DI:Dependency Injection 依賴注入）和AOP（面向切面編程）功能，為應(yīng)用系統(tǒng)提供聲明式的安全訪問控制功能，減少了為企業(yè)系統(tǒng)安全控制編寫大量重復(fù)代碼的工作。

前言

spring security 3.0已經(jīng)可以使用spring el表達(dá)式來控制授權(quán)，允許在表達(dá)式中使用復(fù)雜的布爾邏輯來控制訪問的權(quán)限。

常見的表達(dá)式

Spring Security可用表達(dá)式對象的基類是SecurityExpressionRoot。

部分代碼：

......
private String defaultRolePrefix = "ROLE_"; //ROLE_前綴

    /** Allows "permitAll" expression */
    public final boolean permitAll = true; //全部true

    /** Allows "denyAll" expression */
    public final boolean denyAll = false; //全部false
public final boolean permitAll() {
        return true;
    }

    public final boolean denyAll() {
        return false;
    }

    public final boolean isAnonymous() {
        //是否是anonymous
        return trustResolver.isAnonymous(authentication);
    }

    public final boolean isRememberMe() {
        //是否是rememberme
        return trustResolver.isRememberMe(authentication);
    }
......

URL安全表達(dá)式

onfig.antMatchers("/person/*").access("hasRole('ADMIN') or hasRole('USER')")
                .anyRequest().authenticated();

這里我們定義了應(yīng)用/person/*URL的范圍，該URL只針對擁有ADMIN或者USER權(quán)限的用戶有效。

在Web安全表達(dá)式中引用bean

config.antMatchers("/person/*").access("hasRole('ADMIN') or hasRole('USER')")
                .antMatchers("/person/{id}").access("@rbacService.checkUserId(authentication,#id)")
                .anyRequest()
                .access("@rbacService.hasPermission(request,authentication)");

RbacServiceImpl

@Component("rbacService")
@Slf4j
public class RbacServiceImpl implements RbacService {
    /**
     * uri匹配工具
     */
    private AntPathMatcher antPathMatcher = new AntPathMatcher();

    @Override
    public boolean hasPermission(HttpServletRequest request, Authentication authentication) {
        log.info("【RbacServiceImpl】  --hasPermission={}", authentication.getPrincipal());
        Object principal = authentication.getPrincipal();

        boolean hasPermission = false;
        //有可能是匿名的anonymous
        if (principal instanceof SysUser) {
            //admin永遠(yuǎn)放回true
            if (StringUtils.equals("admin", ((SysUser) principal).getUsername())) {
                hasPermission = true;
            } else {
                //讀取用戶所擁有權(quán)限所有的URL 在這里全部返回true
                Set<String> urls = new HashSet<>();

                for (String url : urls) {
                    if (antPathMatcher.match(url, request.getRequestURI())) {
                        hasPermission = true;
                        break;
                    }
                }
            }
        }
        return hasPermission;
    }

      public boolean checkUserId(Authentication authentication, int id) {
        return true;
    }
}

效果如下：

[圖片上傳失敗...(image-eb4674-1517326338238)]

Method安全表達(dá)式

針對方法級別的訪問控制比較復(fù)雜，Spring Security提供了四種注解，分別是@PreAuthorize , @PreFilter , @PostAuthorize 和 @PostFilter

使用method注解

1. 開啟方法級別注解的配置

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class MerryyouSecurityConfig extends WebSecurityConfigurerAdapter {

2. 配置相應(yīng)的bean

 @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }

    @Bean
    @ConditionalOnMissingBean(PasswordEncoder.class)
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }

3. 在方法上面使用注解

 /**
     * 查詢所有人員
     */
    @PreAuthorize("hasRole('ADMIN')")
    @ApiOperation(value = "獲得person列表", notes = "")
    @GetMapping(value = "/persons")
    public List<Person> getPersons() {
        return personService.findAll();
    }

PreAuthorize

@PreAuthorize 注解適合進(jìn)入方法前的權(quán)限驗(yàn)證

@PreAuthorize("hasRole('ADMIN')")
    List<Person> findAll();

PostAuthorize

@PostAuthorize 在方法執(zhí)行后再進(jìn)行權(quán)限驗(yàn)證,適合驗(yàn)證帶有返回值的權(quán)限。Spring EL 提供 返回對象能夠在表達(dá)式語言中獲取返回的對象returnObject。

@PostAuthorize("returnObject.name == authentication.name")
    Person findOne(Integer id);

PreAuthorize 針對參數(shù)進(jìn)行過濾

//當(dāng)有多個(gè)對象是使用filterTarget進(jìn)行標(biāo)注
@PreFilter(filterTarget="ids", value="filterObject%2==0")
   public void delete(List<Integer> ids, List<String> usernames) {
      ...

   }

PostFilter 針對返回結(jié)果進(jìn)行過濾

 @PreAuthorize("hasRole('ADMIN')")
    @PostFilter("filterObject.name == authentication.name")
    List<Person> findAll();

效果如下：

[圖片上傳失敗...(image-98cc57-1517326338239)]

代碼下載

從我的 github 中下載，https://github.com/longfeizheng/logback