我了解到的面试的一些小内幕，五

最新推荐文章于 2024-06-26 15:12:04 发布

2301_82244389

最新推荐文章于 2024-06-26 15:12:04 发布

阅读量1k

点赞数 30

分类专栏：程序员文章标签：面试职场和发展

本文链接：https://blog.csdn.net/2301_82244389/article/details/137945349

版权

程序员专栏收录该内容

205 篇文章 0 订阅

订阅专栏

那么第二个权限规则将不起作用，因为第一个权限规则覆盖了第二个权限规则

因为权限的设置是按照从上到下的优先级。及满足了最开始的权限设置，那么后面的设置就不起作用了。

2.2.Web授权实战

我们这一次在入门案例的基础上进行修改，所有的认证数据，授权数据都从数据库进行获取

1.编写controller

@RestController

public class DeptController {

@RequestMapping(“/dept/list”)

public String list(){

return “dept.list”;

}

@RequestMapping(“/dept/add”)

public String add(){

return “dept.add”;

}

@RequestMapping(“/dept/update”)

public String update(){

return “dept.update”;

}

@RequestMapping(“/dept/delete”)

public String delete(){

return “dept.delete”;

}

@RestController

public class EmployeeController {

@RequestMapping(“/employee/list”)

public String list(){

return “employee.list”;

}

@RequestMapping(“/employee/add”)

public String add(){

return “employee.add”;

}

@RequestMapping(“/employee/update”)

public String update(){

return “employee.update”;

}

@RequestMapping(“/employee/delete”)

public String delete(){

return “employee.delete”;

}

方法上的requestmapping就对应了权限表t_permission的资源

2.配置HttpSecurity

@Override

protected void configure(HttpSecurity http) throws Exception {

List permissions = permissionMapper.listPermissions();

ExpressionUrlAuthorizationConfigurer.ExpressionInterceptUrlRegistry

expressionInterceptUrlRegistry = http.csrf().disable() //关闭CSRF跨站点请求伪造防护

.authorizeRequests() //对请求做授权处理

.antMatchers(“/login”).permitAll() //登录路径放行

.antMatchers(“/login.html”).permitAll();//对登录页面跳转路径放行

//动态添加授权:从数据库动态查询出，哪些资源需要什么样的权限

for(Permission permission : permissions){

System.out.println(permission.getResource()+" - "+permission.getSn());

//如： /employee/list 需要 employee:list 权限才能访问

expressionInterceptUrlRegistry.antMatchers(permission.getResource()).hasAuthority(permission.getSn());

}

expressionInterceptUrlRegistry

.anyRequest().authenticated() //其他路径都要拦截

.and().formLogin() //允许表单登录，设置登陆页

.successForwardUrl(“/loginSuccess”) // 设置登陆成功页

.loginPage(“/login.html”) //登录页面跳转地址

.loginProcessingUrl(“/login”) //登录处理地址

.and().logout().permitAll(); //登出

}

解释：上面代码从权限表查询出了所有的资源(对应controller中的Requestmapping路径)，然后通过循环调用expressionInterceptUrlRegistry.antMatchers(permission.getResource())

.hasAuthority(permission.getSn()); 进行一一授权,指定哪个资源需要哪个权限才能访问。

3.修改UserDetailService加载用户权限

public UserDetails loadUserByUsername(String username) {

if(loginFromMysql == null){

throw new UsernameNotFoundException(“无效的用户名”);

}

//前台用户

List permissions = new ArrayList<>();

List permissionSnList =

systemManageClient.listByUserId(loginFromMysql.getId());

permissionSnList.forEach(permission->{

System.out.println(“用户:”+username+" ：加载权限 :"+permission.getSn());

permissions.add(new SimpleGrantedAuthority(permission.getSn()));

});

return new User(username,loginFromMysql.getPassword(),permissions);

}

这里在通过UserDetailServer加载用户认证信息的时候就把用户的权限信息一并加载

4.登录测试

合理分配用户的权限，登录测试对于不同的资源是否应该有对应的访问权限

3.方法授权

SpringSecurity提供了一些授权的注解让我们可以在service,controller等的方法上贴注解进行授权，即在方法上指定方法方法需要什么样的权限才能访问

3.1.@Secured

标记方法需要有什么样的权限才能访问，这个注解需要在配置类上开启授权注解支持；

@EnableGlobalMethodSecurity(securedEnabled=true) ，然后在Controller方法上贴该注解如：
@Secured(“IS_AUTHENTICATED_ANONYMOUSLY”) ：方法可以匿名访问
@Secured(“ROLE_DEPT”) ,需要拥有部门的角色才能访问,ROLE_前缀是固定的

1.开启Secured授权支持

@Configuration

@EnableGlobalMethodSecurity(securedEnabled = true)

public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

2.使用@Secured进行方法授权

@RequestMapping(“/employee/list”)

@Secured(“ROLE_employee:list”)

public String list(){

return “employee.list”;

}

解释：这里使用了 @Secured(“ROLE_employee:list”) 意思是 “/employee/list” 这个资源需要“ROLE_employee:list”权限才能访问，如果认证的用户有该权限(UserDetailService中加载)包含了“ROLE_employee:list”即可访问该资源，否则不能访问。

注意：对于方法授权，没有贴注解的方法默认是匿名访问。@Secured注解授权是需要加上前缀“ROLE_”