目录
一 什么是授权
Security:
-
认证 (判断你是平台合法用户)
-
授权(有没有权限访问这个资源)
二 SpringSecurity授权的实现
判断一个用户是否允许访问接口, 判断用户是否拥有这个接口的权限
用户, 与权限没有直接关联的,需要通过角色这个中间表来关联
权限表达式: a:b:c
权限系统:
-
认证
-
动态路由实现
-
前端 根据不同的用户, 查询对应的菜单(授权), 菜单权限2. 前端自定义指令: v-hasPermi 判断用户是否有权限,如果没有, 这个按钮不显示 按钮权限
-
-
当用户不使用ui界面,而是直接地址栏访问后台接口 (没有限制)
SpringSecurity解决直接访问接口的权限: 接口权限
三 SpringSecurity做权限控制解决问题
1. 用户拥有的权限表达式列表获取 - 在登录时,调用调用 UserDetailsService.loadUserByUsername()方法时候可以返回用户的权限信息。 - 在二次token认证的时候, 查询用户权限列表
1.后台接口指定需要访问权限
2.通过使用SpringSecurity提供的注解
3.Security 内置的权限注解：
-
@PreAuthorize：方法执行前进行权限检查 常用
-
@PostAuthorize：方法执行后进行权限检查
-
@Secured：类似于 @PreAuthorize : 区别 @Secured注解不支持SpringEl表达式
4.配合一个注解,让@PreAuthorize生效: @EnableGlobalMethodSecurity(prePostEnabled=true)
四 代码实现步骤
1.得到当前登录用户的权限信息
-
在UserDetailsService.loadUserByUsername()方法时候可以返回用户的权限信息，这样我们就已经得到了当前登录的用户拥有的权限信息
上面注入的permissionService是一个用户权限处理业务类，他是用户获取角色权限的，代码如下：
package com.fs.system.service.ipml; import com.fs.common.core.pojo.SysRole; import com.fs.common.core.pojo.SysUser; import com.fs.system.service.ISysMenuService; import com.fs.system.service.ISysRoleService; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.stereotype.Component; import org.springframework.stereotype.Service; import org.springframework.util.CollectionUtils; import java.util.HashSet; import java.util.List; import java.util.Set; /** * 用户权限处理业务类 */ @Service public class SysPermissionService { @Autowired private ISysRoleService roleService; @Autowired private ISysMenuService menuService; /** * 获取角色数据权限 * 如果是管理员. 默认角色: admin * @param user 用户信息 * @return 角色权限信息 */ public Set<String> getRolePermission(SysUser user) { Set<String> roles = new HashSet<String>(); // 管理员拥有所有权限 if (user.isAdmin()) { roles.add("admin"); } else { roles.addAll(roleService.selectRolePermissionByUserId(user.getUserId())); } return roles; } /** * 获取菜单数据权限 * 如果是管理员, 默认权限: *:*:* * @param user 用户信息 * @return 菜单权限信息 */ public Set<String> getMenuPermission(SysUser user) { Set<String> perms = new HashSet<String>(); // 管理员拥有所有权限 if (user.isAdmin()) { perms.add("*:*:*"); } else { List<SysRole> roles = user.getRoles(); if (!CollectionUtils.isEmpty(roles)) { // 多角色设置permissions属性，以便数据权限匹配权限 for (SysRole role : roles) { Set<String> rolePerms = menuService.selectMenuPermsByRoleId(role.getRoleId()); role.setPermissions(rolePerms); perms.addAll(rolePerms); } } else { perms.addAll(menuService.selectMenuPermsByUserId(user.getUserId())); } } return perms; } }
2.权限表达式自定义的: a:b:c
我们使用的是自定义的权限表达式 ，也就是说我们的权限用的是a:b:c这种格式来定义权限的，我们在判断权限的时候也是用这种格式来查询是否有对用的权限。
SpringSecurity支持表达式:
@PreAuthorize 注解的常用参数有：
"hasAuthority"：使用指定的权限字符串进行访问控制，只有拥有指定权限的用户才能访问方法，在使用时需要传递一个权限字符串的参数，如：
@PreAuthorize("hasAuthority('ROLE_ADMIN')")。"hasAnyAuthority"：使用一组权限字符串进行访问控制，只有拥有指定权限中的一种或多种的用户才能访问方法，在使用时需要传递一个包含多个权限字符串的参数，如：
@PreAuthorize("hasAnyAuthority('ROLE_ADMIN', 'ROLE_USER')")。"hasRole"：使用指定的角色名称进行访问控制，只有拥有指定角色的用户才能访问方法，在使用时需要传递一个角色字符串的参数，如：
@PreAuthorize("hasRole('ROLE_ADMIN')")。"hasAnyRole"：使用一组角色名称进行访问控制，只有拥有指定角色中的一种或多种的用户才能访问方法，在使用时需要传递一个包含多个角色字符串的参数，如：
@PreAuthorize("hasAnyRole('ROLE_ADMIN', 'ROLE_USER')")。"principal"：根据Spring Security中的 SecurityContextHolder 进行访问控制，只有当前用户是通过身份验证进入应用程序的用户才能访问方法，如：
@PreAuthorize("principal=='' or principal.username=='admin'")。"authenticated"：该参数用于标记当前用户是否已经授权验证，只有已经通过身份验证的用户才能访问方法，如：
@PreAuthorize("authenticated")。"permitAll"：表示不需要任何访问权限，所有用户都可以访问该方法，如：
@PreAuthorize("permitAll")。"denyAll"：表示该方法禁止所有用户访问，如：
@PreAuthorize("denyAll")。"hasPermission"：使用自定义的权限验证方式进行访问控制，需要使用Spring El表达式进行编写，如：
@PreAuthorize("hasPermission(#id, 'user', 'read')")。
3.编写一个解析自定义权限表达式的工具类
用于判断接口需要的访问权限登录的用户是否拥有import java.util.Objects; import java.util.Set; import cn.hutool.core.util.StrUtil; import com.fs.common.core.pojo.SysRole; import com.fs.common.core.vo.LoginUser; import com.fs.system.util.SecurityUtils; import org.springframework.stereotype.Service; import org.springframework.util.CollectionUtils; /** *自定义权限实现，ss取自SpringSecurity首字母 */ @Service("ss") public class PermissionService { /** 所有权限标识 */ private static final String ALL_PERMISSION = "*:*:*"; /** 管理员角色权限标识 */ private static final String SUPER_ADMIN = "admin"; private static final String ROLE_DELIMETER = ","; private static final String PERMISSION_DELIMETER = ","; /** * 验证用户是否具备某权限 * * @param permission 权限字符串 system:role:list * @return 用户是否具备某权限 */ public boolean hasPermi(String permission) { if (StrUtil.isEmpty(permission)) { return false; } LoginUser loginUser = SecurityUtils.getLoginUser(); if (Objects.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getPermissions())) { return false; } return hasPermissions(loginUser.getPermissions(), permission); } /** * 验证用户是否不具备某权限，与 hasPermi逻辑相反 * * @param permission 权限字符串 * @return 用户是否不具备某权限 */ public boolean lacksPermi(String permission){ return hasPermi(permission) != true; } /** * 验证用户是否具有以下任意一个权限 * * @param permissions 以 PERMISSION_DELIMETER 为分隔符的权限列表 * @return 用户是否具有以下任意一个权限 */ public boolean hasAnyPermi(String permissions) { if (StrUtil.isEmpty(permissions)) { return false; } LoginUser loginUser = SecurityUtils.getLoginUser(); if (Objects.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getPermissions())) { return false; } Set<String> authorities = loginUser.getPermissions(); for (String permission : permissions.split(PERMISSION_DELIMETER)) { if (permission != null && hasPermissions(authorities, permission)) { return true; } } return false; } /** * 判断用户是否拥有某个角色 * * @param role 角色字符串 * @return 用户是否具备某角色 */ public boolean hasRole(String role) { if (StrUtil.isEmpty(role)) { return false; } LoginUser loginUser = SecurityUtils.getLoginUser(); if (Objects.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getUser().getRoles())) { return false; } for (SysRole sysRole : loginUser.getUser().getRoles()) { String roleKey = sysRole.getRoleKey(); if (SUPER_ADMIN.equals(roleKey) || roleKey.equals(StrUtil.trim(role))) { return true; } } return false; } /** * 验证用户是否不具备某角色，与 isRole逻辑相反。 * * @param role 角色名称 * @return 用户是否不具备某角色 */ public boolean lacksRole(String role) { return hasRole(role) != true; } /** * 验证用户是否具有以下任意一个角色 * * @param roles 以 ROLE_NAMES_DELIMETER 为分隔符的角色列表 * @return 用户是否具有以下任意一个角色 */ public boolean hasAnyRoles(String roles) { if (StrUtil.isEmpty(roles)) { return false; } LoginUser loginUser = SecurityUtils.getLoginUser(); if (Objects.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getUser().getRoles())) { return false; } for (String role : roles.split(ROLE_DELIMETER)) { if (hasRole(role)) { return true; } } return false; } /** * 判断是否包含权限 * * @param permissions 权限列表 * @param permission 权限字符串 * @return 用户是否具备某权限 */ private boolean hasPermissions(Set<String> permissions, String permission) { return permissions.contains(A LL_PERMISSION) || permissions.contains(StrUtil.trim(permission)); } }
4.在接口使用注解设置访问权限
表示该方法需要那种权限
上面注解的意思是：调用我们的权限表达式工具类里面的hasPermi方法，然后传入这个接口需要的权限表达式：“system:user:list”，这就是一个普通的字符串，然后我们在数据库表中的某些角色的权限列表中定义这么一个字符串，标识它有权限访问被这个字符串标记的接口。
所以上面这个注解的方法就会判断用户权限属性里面有没有这么一个字符串，有的话就返回true标识有权访问这个接口，否则返回false。
5。使这个@PreAuthorize注解生效
在SpringSecurity配置类,使用@EnableGlobalMethodSecurity(prePostEnabled=true) 让@PreAuthorize注解生效
1729
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
