AbacSpringSecurity 开源项目教程

AbacSpringSecurity 开源项目教程

AbacSpringSecurityAttribute-Based Access Control with Spring Security项目地址:https://gitcode.com/gh_mirrors/ab/AbacSpringSecurity

项目介绍

AbacSpringSecurity 是一个基于属性的访问控制（Attribute-Based Access Control, ABAC）框架，专为 Spring Security 设计。该项目允许开发者根据用户属性、资源属性和环境属性来定义细粒度的访问控制策略，从而实现更灵活和动态的安全管理。

项目快速启动

环境准备

• Java 8 或更高版本
• Maven
• Spring Boot

快速启动步骤

1. 克隆项目

   git clone https://github.com/mostafa-eltaher/AbacSpringSecurity.git
   cd AbacSpringSecurity
   

2. 构建项目

   mvn clean install
   

3. 配置应用

   在 src/main/resources 目录下创建 application.properties 文件，并添加以下配置：

   server.port=8080
   spring.datasource.url=jdbc:h2:mem:testdb
   spring.datasource.driverClassName=org.h2.Driver
   spring.datasource.username=sa
   spring.datasource.password=password
   spring.jpa.hibernate.ddl-auto=update
   

4. 运行应用

   mvn spring-boot:run
   

5. 访问应用

   打开浏览器，访问 http://localhost:8080，你应该能够看到应用的欢迎页面。

应用案例和最佳实践

应用案例

假设我们有一个图书管理系统，需要根据用户的角色和图书的分类来控制访问权限。例如，只有管理员可以添加或删除图书，而普通用户只能查看图书。

最佳实践

1. 定义策略

   在 src/main/resources 目录下创建 policy.json 文件，定义访问控制策略：

   {
     "policies": [
       {
         "id": "admin-policy",
         "description": "Allow admin to add or delete books",
         "rules": [
           {
             "subject": {
               "roles": ["admin"]
             },
             "actions": ["add", "delete"],
             "resources": ["book"]
           }
         ]
       },
       {
         "id": "user-policy",
         "description": "Allow user to view books",
         "rules": [
           {
             "subject": {
               "roles": ["user"]
             },
             "actions": ["view"],
             "resources": ["book"]
           }
         ]
       }
     ]
   }
   

2. 集成到应用

   在 Spring Security 配置类中，使用 AbacWebSecurityExpressionHandler 和 AbacMethodSecurityExpressionHandler 来处理访问控制表达式：

   @Configuration
   @EnableGlobalMethodSecurity(prePostEnabled = true)
   public class SecurityConfig extends GlobalMethodSecurityConfiguration {
   
       @Override
       protected MethodSecurityExpressionHandler createExpressionHandler() {
           return new AbacMethodSecurityExpressionHandler();
       }
   
       @Bean
       public WebSecurityExpressionHandler webSecurityExpressionHandler() {
           return new AbacWebSecurityExpressionHandler();
       }
   }
   

3. 使用注解

   在需要保护的资源上使用 @PreAuthorize 注解：

   @RestController
   @RequestMapping("/books")
   public class BookController {
   
       @PreAuthorize("#abac.evaluateAttributes('access-subject:role:admin')")
       @PostMapping
       public ResponseEntity<Book> addBook(@RequestBody Book book) {
           // Add book logic
           return ResponseEntity.ok(book);
       }
   
       @PreAuthorize("#abac.evaluateAttributes('access-subject:role:admin')")
       @DeleteMapping("/{id}")
       public ResponseEntity<Void> deleteBook(@PathVariable Long id) {
           // Delete book logic
           return ResponseEntity.noContent().build();
       }
   
       @PreAuthorize("#abac.evaluateAttributes('access-subject:role:user')")
       @GetMapping
       public ResponseEntity<List<Book>> getBooks() {
           // Get
   

AbacSpringSecurityAttribute-Based Access Control with Spring Security项目地址:https://gitcode.com/gh_mirrors/ab/AbacSpringSecurity