用Spring Security快速实现 RBAC模型案例

已于 2024-06-01 16:45:34 修改
阅读量1.4k 收藏 18
点赞数 10
分类专栏： V哥原创技术栈 文章标签： spring 数据库 java
于 2024-05-28 10:05:21 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/finally_vince/article/details/139258403
版权

RBAC模型通常是指“基于角色的访问控制”（Role-Based Access Control，RBAC）模型。这是一种广泛使用的访问控制机制，用于限制用户或系统对计算机或网络资源的访问。在RBAC模型中，权限与角色相关联，用户通过分配角色来获得相应的权限，而不是直接将权限分配给用户。

下面 V 哥教你一步一步来实现 RBAC 模型，你可以使用这个案例根据实际需求应用到你的项目中。

RBAC模型的主要组成部分包括：

  • 用户（Users）：系统中的个体，可以是人、程序或设备。
  • 角色（Roles）：定义在系统中的工作或责任的抽象。例如，“管理员”、“普通用户”、“访客”等。
  • 权限（Permissions）：对系统资源的访问许可。例如，读、写、修改等操作。
  • 会话（Sessions）：用户与系统交互的时期，用户可以在会话中激活其角色并获得相应的权限。
  • 角色分配（Role Assignments）：将用户与角色相关联的过程。
  • 权限分配（Permission Assignments）：将权限与角色相关联的过程。
  • 角色层次（Role Hierarchy）：如果一组角色之间存在层次关系，可以形成角色层次，允许高级角色继承低级角色的权限。

RBAC模型的实施能够简化权限管理，使得权限的变更更为灵活，便于在大型组织中实施和维护。例如，如果一个用户的工作职责发生变化，只需要改变其角色，就可以自动调整其权限，而不需要逐个修改其权限设置。

在实施时，组织通常会根据自身的业务需求定制角色和权限，确保系统的安全性和用户的便利性。在中国，许多企业和政府部门都采用了基于角色的访问控制模型来提升信息系统的安全性和管理效率。

在Java Spring Security中实现RBAC模型通常涉及以下步骤：

  • 定义用户（User）和角色（Role）实体。
  • 配置Spring Security以使用自定义的UserDetailsService。
  • 创建角色和权限，并将它们分配给用户。
  • 配置Spring Security的WebSecurityConfigurerAdapter以使用角色进行访问控制。
import javax.persistence.*;
import java.util.HashSet;
import java.util.Set;

@Entity
@Table(name = "users")
public class User {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String username;
    private String password;

    @ManyToMany(fetch = FetchType.EAGER)
    @JoinTable(
            name = "user_roles",
            joinColumns = @JoinColumn(name = "user_id"),
            inverseJoinColumns = @JoinColumn(name = "role_id")
    )
    private Set<Role> roles = new HashSet<>();

    // Getters and Setters
}

@Entity
@Table(name = "roles")
public class Role {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String name;

    // Getters and Setters
}

接下来，创建一个UserDetailsService的实现，用于加载用户和他们的权限：

import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class CustomUserDetailsService implements UserDetailsService {

    private final UserRepository userRepository;

    public CustomUserDetailsService(UserRepository userRepository) {
        this.userRepository = userRepository;
    }

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("User not found: " + username));
        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(),
                mapRolesToAuthorities(user.getRoles())
        );
    }

    private Collection<? extends GrantedAuthority> mapRolesToAuthorities(Collection<Role> roles) {
        return roles.stream()
                .map(role -> new SimpleGrantedAuthority(role.getName()))
                .collect(Collectors.toList());
    }
}

然后，配置Spring Security的WebSecurityConfigurerAdapter：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    private final CustomUserDetailsService customUserDetailsService;

    public SecurityConfig(CustomUserDetailsService customUserDetailsService) {
        this.customUserDetailsService = customUserDetailsService;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(customUserDetailsService)
                .passwordEncoder(passwordEncoder());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
                .antMatchers("/").permitAll()
                .and()
            .formLogin();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

在这个配置中，我们定义了不同URL路径的访问权限，例如/admin/**只允许具有ADMIN角色的用户访问，而/user/**则允许USER和ADMIN角色的用户访问。

最后，你需要创建一个Spring Data JPA的Repository来处理用户和角色的数据持久化：

public interface UserRepository extends JpaRepository<User, Long> {
    Optional<User> findByUsername(String username);
}

这个示例提供了一个基础的RBAC实现，实际应用中可能需要更复杂的角色和权限管理，以及与业务逻辑更紧密的集成。在实际部署时，还需要考虑加密用户密码、处理用户登录和注销、以及可能的安全漏洞。

首先，定义用户和角色实体：

import javax.persistence.*;
import java.util.HashSet;
import java.util.Set;

@Entity
@Table(name = "users")
public class User {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String username;
    private String password;

    @ManyToMany(fetch = FetchType.EAGER)
    @JoinTable(
            name = "user_roles",
            joinColumns = @JoinColumn(name = "user_id"),
            inverseJoinColumns = @JoinColumn(name = "role_id")
    )
    private Set<Role> roles = new HashSet<>();

    // Getters and Setters
}

@Entity
@Table(name = "roles")
public class Role {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String name;

    // Getters and Setters
}

接下来，创建一个UserDetailsService的实现，用于加载用户和他们的权限：

import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class CustomUserDetailsService implements UserDetailsService {

    private final UserRepository userRepository;

    public CustomUserDetailsService(UserRepository userRepository) {
        this.userRepository = userRepository;
    }

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("User not found: " + username));
        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(),
                mapRolesToAuthorities(user.getRoles())
        );
    }

    private Collection<? extends GrantedAuthority> mapRolesToAuthorities(Collection<Role> roles) {
        return roles.stream()
                .map(role -> new SimpleGrantedAuthority(role.getName()))
                .collect(Collectors.toList());
    }
}

然后，配置Spring Security的WebSecurityConfigurerAdapter：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    private final CustomUserDetailsService customUserDetailsService;

    public SecurityConfig(CustomUserDetailsService customUserDetailsService) {
        this.customUserDetailsService = customUserDetailsService;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(customUserDetailsService)
                .passwordEncoder(passwordEncoder());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
                .antMatchers("/").permitAll()
                .and()
            .formLogin();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

在这个配置中，我们定义了不同URL路径的访问权限，例如/admin/**只允许具有ADMIN角色的用户访问，而/user/**则允许USER和ADMIN角色的用户访问。

最后，你需要创建一个Spring Data JPA的Repository来处理用户和角色的数据持久化：

public interface UserRepository extends JpaRepository<User, Long> {
    Optional<User> findByUsername(String username);
}

这个示例提供了一个基础的RBAC实现，实际应用中可能需要更复杂的角色和权限管理，以及与业务逻辑更紧密的集成。在实际部署时，还需要考虑加密用户密码、处理用户登录和注销、以及可能的安全漏洞。

最后

这是一个简单的 RBAC 模型案例，通过这个案例，你可以了解 RBAC 模型的实现步骤，应用在你的实际项目中，当然你需要考虑实际项目中的具体需求和逻辑来改造这个案例，你学会了吗。

实战，Spring Cloud Gateway集成 RBAC 权限模型实现动态权限控制
q1472750149的博客
01-07 1750
以上五张表的SQL就不再详细贴出来了，都会放在案例源码的doc目录下，如下图： 设计思路 RBAC权限模型是基于角色的，因此在Spring Security中的权限就是角色，具体的认证授权流程如下： 用户登录申请令牌 通过UserDetailService查询、加载用户信息、比如密码、权限(角色)....封装到UserDetails中 令牌申请成功，携带令牌访问资源 网关层面比较访问的URL所需要的权限（Redis中）是否与当前令牌具备的权限有交集。有交集则表示具备访问该URL的权限...
实战！Spring Cloud Gateway集成 RBAC 权限模型实现动态权限控制
lt_xiaodou的博客
09-07 1363
RBAC基于角色访问控制，目前使用最为广泛的权限模型。相信大家对这种权限模型已经比较了解了。此模型有三个用户、角色和权限，在传统的权限模型用户直接关联加了角色层，解耦了用户和权限，使得权限系统有了更清晰的职责划分和更高的灵活度。以上五张表的SQL就不再详细贴出来了，都会放在案例源码的doc本篇文章介绍了网关集成RBAC权限模型进行认证鉴权，核心思想就是将权限信息加载Redis缓存中，在网关层面的鉴权管理器中进行权限的校验，其中还整合了Restful风格的URL。
权限系统设计方案实践（Spring Security + RBAC 模型）
_Djhhh` blog
03-04 1341
本文将介绍中大型项目中常用的一套权限系统设计方案，通过 SpringSecurity 安全管理框架，并结合 RBAC 模型进行数据模型设计，可以完成一个较为完整的权限系统
RBAC 模型的简单实现
最新发布
qq_53195681的博客
03-15 910
RBAC（Role-Based Access Control，基于角色的访问控制）是一种广泛应用的权限管理模型。它的核心思想是通过角色来管理权限，而不是直接分配权限给用户。用户被赋予一个或多个角色，而每个角色拥有不同的权限。
SpringSecurity3.2.5搭建支持RBAC的源代码
12-12
SpringSecurity3.2.5搭建支持RBAC的源代码示例~~原文http://blog.csdn.net/yeluosc/article/details/41890351
SpringSecurity实现RBAC权限验证
weixin_45881125的博客
03-20 2669
基于角色的访问控制（RBAC）是一种访问控制策略，用于管理系统、应用程序或网络中的用户对资源的访问权限。RBAC 将用户分配给角色，然后将权限分配给角色，而不是直接将权限分配给个别用户。这种方式简化了权限管理，特别是在大型组织或系统中，可以更轻松地管理权限。角色（Roles）：角色是一组具有相似职责或权限需求的用户集合。例如，一个企业应用可能有角色如“管理员”、“普通用户”、“审计员”等。
Spring Security实现RBAC权限管理
weixin_33979745的博客
06-21 1299
Spring Security实现RBAC权限管理 一简介 在企业应用中，认证和授权是非常重要的一部分内容，业界最出名的两个框架就是大名鼎鼎的 Shiro和Spring Security。由于Spring Boot非常的流行，选择Spring Security做认证和授权的 人越来越多，今天我们就来看看用Sp...
springboot 整合 Spring Security 中篇（RBAC权限控制）
qq_30519365的博客
12-04 2149
主要在这个方法loadUserByUsername 从数据库读取用户的登录信息和权限信息import comthrow new UsernameNotFoundException("用户名不存在");} }throw new UsernameNotFoundException("用户名不存在");} }
Spring Security实现类似shiro权限表达式的RBAC权限控制
码农小胖哥
04-19 900
昨天有个粉丝加了我，问我如何实现类似shiro的资源权限表达式的访问控制。我以前有一个小框架用的就是shiro，权限控制就用了资源权限表达式，所以这个东西对我不陌生，但是在Spring Security中我并没有使用过它，不过我认为Spring Security可以实现这一点。是的，我找到了实现它的方法。再看、点赞、转发、关注来一波！资源权限表达式说了这么多，我觉得应该解...
Spring Security与RBAC模型完整实现示例
在本demo项目中，将展示如何利用Spring Security的组件和配置来实现RBAC模型。这通常包括用户认证过程中的角色和权限分配，以及在资源访问时基于用户角色的权限校验。Spring Security通过配置和编码的方式支持RBAC的...
Spring Security中的RBAC权限控制模型
Spring Security 提供了全面的安全性解决方案，包括认证、授权、攻击防护等功能，并可以与 Spring 框架无缝集成，为各种应用程序提供了广泛的安全支持。 ## 1.2 为什么需要RBAC权限控制模型 RBAC（Role-Based ...
基于SpringBoot+SpringSecurity的RBAC管理系统源码
10-14
RBAC模型通常包含三个主要元素：用户（User）、角色（Role）和权限（Permission）。在SpringSecurity中，我们可以定义UserDetailsService接口来获取用户信息，定义权限规则并将其与角色关联。 项目中的关键文件可能...
spring security+myabtis实现RBAC（hua）.pdf
02-19
此例子只是实现用户登录及用户操作是否有权限操作的功能（没有实现完整的用户注册、权限管理等等）。 只有基础的3张表分别为用户、角色、权限。用户-角色、角色-权限它们之间是多对多关系，所以得分别添加一个中间表，变成了5张表。 名字 版本 idea ide 2019.3 Jdk 13.0.2 Spring Boot 2.2.4 Spring security 5.2.2 tomcat 9.0.30 MyBatis starter 2.1.1 thymeleaf starter - fastjson 1.2.62 hutool 5.1.3 idea lombok -
spring-security-rbac:Spring Security实现RBAC权限管理
05-15
Spring Security实现RBAC权限管理 一简介 在企业应用中，认证和授权是非常重要的一部分内容，业界最出名的两个框架就是大名鼎鼎的 Shiro和Spring Security。由于Spring Boot非常的流行，选择Spring Security做认证和授权的 人越来越多，今天我们就来看看用Spring 和 Spring Security如何实现基于RBAC的权限管理。 二、基础概念RBAC RBAC是Role Based Access Control的缩写，是基于角色的访问控制。一般都是分为用户（user）， 角色（role），权限（permission）三个实体，角色（role）和权限（permission）是多对多的 关系，用户（user）和角色（role）也是多对多的关系。用户（user）和权限（permission） 之间没有直接的关系，都是通过角色作为代理，才能获
SpringSecurity.pdf
05-24
此外，Spring Security还提供了一个快速入门案例，帮助初学者理解如何通过配置来保护应用程序的资源。 Spring Security之所以在Java社区中广泛流行，是因为它不仅提供了强大的安全特性，还具有高可定制性、良好的...
【springcloud入门到精通系列】1.准备工作创建父项目设置环境
Andyluna的博客
12-19 370
1.准备工作 项目采用idea创建、使用maven构建工具 修改/etc/hosts 在最下面 新增4行配置 127.0.0.1 eureka01 127.0.0.1 eureka02 127.0.0.1 eureka03 127.0.0.1 eureka04 2.新建一个项目spring-cloud-study父项目，用来管理所有spring cloud项...
使用SpringSecurity3实现RBAC权限管理
novelly的专栏
02-13 1229
1、 What？ 什么是权限管理？         具体可参见百度：http://baike.baidu.com/view/2108713.htm     名词备注：     数据级权限：百科内的权限管理一文解释的比较不错，但其中的“数据级权限”有的人看来会觉得有点摸不着头脑。数据级权限，即表示权限与特定数据有联系的权限，比方说，某用户只能创建100个用户。这个100，就
SpringSecurity、RBAC角色权限控制
user__kk的博客
09-12 1461
RBAC 全称为用户角色权限控制，通过角色关联用户，角色关联权限，这种方式，间阶的赋予用户的权限。对于通常的系统而言，存在多个用户具有相同的权限，在分配的时候，要为指定的用户分配相关的权限，修改的时候也要依次的对这几个用户的权限进行修改，有了角色这个权限，在修改权限的时候，只需要对角色进行修改，就可以实现相关的权限的修改。这样做增加了效率，减少了权限漏洞的发生。权限是资源的集合，这里的资源指的是软件中的所有的内容，即，对页面的操作权限，对页面的访问权限，对数据的增删查改的权限。
RBAC 权限控制及结合 Spring Security 部分实现
shpunishment的博客
04-15 1112
RBAC0 定义了能构成 RBAC 权限控制系统的最小的集合，RBAC0 由四部分构成： 用户（User） 权限的使用主体 角色（Role） 包含许可的集合 会话（Session）绑定用户和角色关系映射的中间通道。而且用户必须通过会话才能给用户设置角色。 许可（Pemission） 对特定资源的特定的访问许可。 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

威哥爱编程（马剑威）

你的鼓励是我创作的最大动力！

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值