Spring-Security@PreAuthorize("hasAuthority('')")源码分析

最新推荐文章于 2024-07-27 00:36:40 发布

大壮别叹气

最新推荐文章于 2024-07-27 00:36:40 发布

阅读量4.6w

点赞数 25

分类专栏： Java cookies

本文链接：https://blog.csdn.net/guoke2017/article/details/94439661

版权

Java cookies 专栏收录该内容

5 篇文章 0 订阅

订阅专栏

Spring-Security@PreAuthorize(“hasAuthority(’’)”)源码分析
demo
@PreAuthorize(“hasAuthority(‘xxx’)”)用来鉴别当前登录用户所拥有的角色是否有xxx权限访问该接口。
点进去看看security是如何来鉴权的。

这里authority即为我们传入的权限，比如prod:create,接下来再看this.hasAnyAuthority如何处理这个权限字符串吧。

翻看源码的话会发现其实hasAnyAuthority方法就在hasAuthority方法的下面，该访问hasAnyAuthorityName了，我们传入的权限字符串（prod:create）就像皮球一样被踢到了hasAnyAuthorityName脚下了~

该方法终于要射门了！
首行为 Set roleSet = this.getAuthoritySet(); 点进去getAuthorityeSet()方法看到

该方法为获取当前用户所拥有角色的所有权限，Collection<? extends GrantedAuthority> userAuthorities = this.authentication.getAuthorities();此行为登录操作时应访问数据库将用户权限放入authentication中，也就是说，这一行将会把该用户所持角色的所有权限都查询出来。
此时我们的鉴权字符串（“prod:create”）被守门员getRoleWithDefaultPrefix()拿下，来看看守门员是怎么守住这球的：

原来是判断一下这球是不是假动作啊，该方法会对传入的（prod:create）进行组装，前面传入的这个defaultRolePrefix为null，所以直接返回role即可，也就是我们一开始传入的“prod:create”。
该比对了，prod:create字符串在权限集合roleSet中，即该用户有访问该接口的权限。
总的来说，鉴权过程为：从数据库中查询出当前登录用户的所有权限并交给security管理；注解@PreAuthorize(“hasAuthority(‘xxx’)”)来判断“xxx”是否在当前登录用户的权限集合中，在则200，不在则403。
谢谢！