SpringBoot - @EnableGlobalMethodSecurity注解详解

写在前面

使用@EnableGlobalMethodSecurity注解，用于开启Spring环境的方法级安全，如果使用该方案，则需要在添加了@Configuration注解的自定义的配置类上再添加@EnableGlobalMethodSecurity注解即可。这个自定义的配置类通常是需要继承WebSecurityConfigurerAdapter基类，自定义处理器或者过滤器，来实现符合业务场景的安全访问控制。

如何使用

1. 继承WebSecurityConfigurerAdapter基类

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true)
public class MySecurityConfig extends WebSecurityConfigurerAdapter {
}

2. 配置URL的访问权限

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true)
public class MySecurityConfig extends WebSecurityConfigurerAdapter {
    
    ...

    /**
     * anyRequest          |   匹配所有请求路径
     * access              |   SpringEl表达式结果为true时可以访问
     * anonymous           |   匿名可以访问
     * denyAll             |   用户不能访问
     * fullyAuthenticated  |   用户完全认证可以访问（非remember-me下自动登录）
     * hasAnyAuthority     |   如果有参数，参数表示权限，则其中任何一个权限可以访问
     * hasAnyRole          |   如果有参数，参数表示角色，则其中任何一个角色可以访问
     * hasAuthority        |   如果有参数，参数表示权限，则其权限可以访问
     * hasIpAddress        |   如果有参数，参数表示IP地址，如果用户IP和参数匹配，则可以访问
     * hasRole             |   如果有参数，参数表示角色，则其角色可以访问
     * permitAll           |   用户可以任意访问
     * rememberMe          |   允许通过remember-me登录的用户访问
     * authenticated       |   用户登录后可访问
     */
    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {
        // 注解标记允许匿名访问的url
        ExpressionUrlAuthorizationConfigurer<HttpSecurity>.ExpressionInterceptUrlRegistry registry = httpSecurity.authorizeRequests();
        permitAllUrl.getUrls().forEach(url -> registry.antMatchers(url).permitAll());

        httpSecurity
                // CSRF禁用，因为不使用session
                .csrf().disable()
                // 认证失败处理类
                .exceptionHandling().authenticationEntryPoint(unauthorizedHandler).and()
                // 基于token，所以不需要session
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and()
                // 过滤请求
                .authorizeRequests()
                // 对于登录login 注册register 验证码captchaImage 允许匿名访问
                .antMatchers("/login", "/register", "/captchaImage").anonymous()
                // 静态资源，可匿名访问
                .antMatchers(HttpMethod.GET, "/", "/*.html", "/**/*.html", "/**/*.css", "/**/*.js", "/profile/**").permitAll()
                .antMatchers("/swagger-ui.html", "/swagger-resources/**", "/webjars/**", "/*/api-docs", "/druid/**").permitAll()
                // 除上面外的所有请求全部需要鉴权认证
                .anyRequest().authenticated()
                .and()
                .headers().frameOptions().disable();
        // 添加自定义的登出处理器
        httpSecurity.logout().logoutUrl("/logout").logoutSuccessHandler(logoutSuccessHandler);
        // 在UsernamePasswordAuthenticationFilter之前添加自定义的JWT过滤器
        httpSecurity.addFilterBefore(authenticationTokenFilter, UsernamePasswordAuthenticationFilter.class);
        // 在自定义的JWT过滤器前添加跨域过滤器
        httpSecurity.addFilterBefore(corsFilter, JwtAuthenticationTokenFilter.class);
        // 在用户登出过滤器前添加跨域过滤器
        httpSecurity.addFilterBefore(corsFilter, LogoutFilter.class);
    }
	
	...
}

注解扩展

1. 注解说明

A. prePostEnabled = true：会开启 @PreAuthorize 和 @PostAuthorize 两个注解。
@PreAuthorize注解会在方法执行前进行验证，支持Spring EL表达式；
@PostAuthorize 注解会在方法执行后进行验证，不经常使用， 适用于验证带有返回值的权限。Spring EL提供了returnObject，用于能够在表达式语言中获取返回的对象信息；
B. securedEnabled = true：会开启@Secured 注解，用来定义业务方法的安全配置，在调用的接口或方法上使用该注解。在需要安全控制(一般使用角色或者权限进行控制)的方法上指定@Secured，达到只有具备那些角色/权限的用户才可以访问该方法。指定角色时必须以ROLE_开头，不可省略；不支持Spring EL表达式；如果想要使用@Secured注解指定"AND"条件，即调用deleteAll方法需同时拥有ADMIN和DBA角色的用户时，@Secured便不能实现，只能使用@PreAuthorize/@PostAuthorize注解。

2. 注解使用

public interface IUserService {

    // 访问该方法需要有USER角色。注意：这里需要在角色前加一个前缀"ROLE_"
    @Secured({"ROLE_USER"})
    void updateUser(User user);

    // 访问该方法只需要有ADMIN、DBA中的任意一个角色即可。注意：这里需要在角色前加一个前缀"ROLE_"
    @Secured({"ROLE_ADMIN", "ROLE_DBA"})
    void deleteUser();
    
    // 访问该方法只需要有ADMIN、DBA、USER中的任意一个角色即可
    @PreAuthorize("hasAnyRole('ADMIN','DBA','USER')")
    List<User> findAllUsers();
    
    // 访问该方法既要有ADMIN角色，又要有DBA角色
    @PreAuthorize("hasRole('ADMIN') and hasRole('DBA')")
    void deleteAll()

    // 仅查询用户ID小于100的用户
    @PreAuthorize("#id < 100")
    User findUserById(int id);

    // 仅查询用户名为登录用户的信息
     @PreAuthorize("principal.username.equals(#username)")
    User findUserByName(String userName);

    // 仅新增用户名为ROCKY用户
    @PreAuthorize("#user.name.equals('ROCKY')")
    void addUser(User user)

    // 查询到用户信息后，再验证用户名是否为ROCKY用户
	@PostAuthorize("returnObject.name.equals('ROCKY')")
    User getUser(int id);
}

3. 过滤器注解

@PreFilter： 对集合类型的参数进行过滤，移除结果为FALSE的元素；
@PostFilter：对集合类型的返回对象进行过滤，移除结果为FALSE的元素。

4. 内置的表达式

Spring内置的表达式