spring securiy4如何动态加载URL拦截规则

最新推荐文章于 2024-09-10 14:58:05 发布

json20080301

最新推荐文章于 2024-09-10 14:58:05 发布

阅读量2.2k

点赞数

分类专栏： springsecurity4 架构 SpringSecurity4源码解读

本文链接：https://blog.csdn.net/json20080301/article/details/79339825

版权

架构同时被 3 个专栏收录

21 篇文章 0 订阅

订阅专栏

SpringSecurity4源码解读

18 篇文章 4 订阅

订阅专栏

springsecurity4

6 篇文章 0 订阅

订阅专栏

本文介绍如何通过自定义ProtectedUrlSecurityMetadataSource实现Spring Security的URL拦截规则动态加载。利用该方法可在不重启应用的情况下更新权限配置，并保持了Spring Security 4的原有优势。

摘要由CSDN通过智能技术生成

springsecuriy4官方案例中的URL拦截规则在容器初始化时加载完成，后面如果URL拦截规则需求有变化，则只有修改配置，重启容器。

通过自定义FilterInvocationSecurityMetadataSource实现类 ProtectedUrlSecurityMetadataSource就可以完成URL拦截规则运行时重新加载。

FilterSecurityInterceptor有一个小bug，所以ProtectedUrlSecurityMetadataSource必须使用配套的FilterSecurityInterceptor子类ProtectedUrlFilter 来进行URL权限验证。bug描述见 https://github.com/spring-projects/spring-security/pull/4997

ProtectedUrlSecurityMetadataSource核心代码见：

/**
     * @param urlMap 存储URL和权限的对应关系
     */
    public synchronized void loadSecurityMetadataSourceFromUrlMap(Map<String, String> urlMap) {
        LinkedHashMap<RequestMatcher, Collection<ConfigAttribute>> requestMap  = new LinkedHashMap(urlMap.size());
        for (Map.Entry<String, String> entry : urlMap
                .entrySet()) {
            RequestMatcher requestMatcher = new AntPathRequestMatcher(entry.getKey());
            Set<String> set = StringUtils.commaDelimitedListToSet(entry.getValue());
            Collection<ConfigAttribute> configAttributes = new LinkedHashSet<>(set.size());
            for (String str : set) {
                configAttributes.add(new SecurityConfig(str));
            }
            requestMap.put(requestMatcher, configAttributes);

        }
        FilterInvocationSecurityMetadataSource metadataSource =
                new ExpressionBasedFilterInvocationSecurityMetadataSource(requestMap, new DefaultWebSecurityExpressionHandler());
        this.securityMetadataSource = metadataSource;
    }

具体的配置案例见：SpringSecurityConfig.buildProtectedUrlFilter；

如何从数据库中加载URL配置规则？

1.在自己的controller中注入ProtectedUrlSecurityMetadataSource，

2.从数据库中获得所有URL的拦截规则，然后赋值到Map，

3.调用loadSecurityMetadataSourceFromUrlMap方法，完成拦截规则的重新加载。

@Autowired
ProtectedUrlSecurityMetadataSource metadataSource;

@GetMapping("/access/clear")
public String clear() {
    metadataSource.loadSecurityMetadataSourceFromUrlMap(new HashMap<>());
    return "/home";
}