（二）、spring boot security 授权--自定义授权实现

---

Spring Security文章目录

---

1、简介

spring security主要分为两部分，认证(authentication)和授权(authority)。

这一篇主要是授权部分，它由FilterSecurityInterceptor逻辑拦截处理，具体通过AccessDecisionManager实现。

1.1 系统授权实现说明

系统提供了三种实现方式：

1. AffirmativeBased(spring security默认使用):
   只要有投通过（ACCESS_GRANTED）票，则直接判为通过。
   如果没有投通过票且反对（ACCESS_DENIED）票在1个及其以上的，则直接判为不通过。
2. ConsensusBased(少数服从多数):
   通过的票数大于反对的票数则判为通过;通过的票数小于反对的票数则判为不通过;
   通过的票数和反对的票数相等，则可根据配置allowIfEqualGrantedDeniedDecisions（默认为true）进行判断是否通过。
3. UnanimousBased(反对票优先):
   无论多少投票者投了多少通过（ACCESS_GRANTED）票，只要有反对票（ACCESS_DENIED），那都判为不通过;如果没有反对票且有投票者投了通过票，那么就判为通过.

这三种方式都包含了一个AccessDecisionManager（权限控制处理）和多个AccessDecisionVoter（投票项）。

1.2 自定义实现说明

系统默认提供的是基于ROLE（角色）的权限，这里自定义一下，处理 url + httpMethod 方式的权限拦截。

有三种方式可以实现：

方式一：
通过.access 方式实现。
步骤：
1. 自定义MyAuthService：实际权限校验服务
2. WebSecurityConfigurerAdapter配置：注入自定义校验服务

方式二：
通过.accessDecisionManager，覆盖AccessDecisionManager方式实现。
步骤：
1. 自定义AccessDecisionManager: 实现授权逻辑校验。
2. WebSecurityConfigurerAdapter配置：注入自定义AccessDecisionManager

方式三：
通过 添加AccessDecisionVoter投票项处理。这种兼容默认ROLE的AffirmativeBased实现
步骤：
1. 自定义AccessDecisionVoter: 实现授权投票逻辑
2. WebSecurityConfigurerAdapter配置：注入自定义AccessDecisionVoter

2、代码路径

github代码路径

3、方式一（.access 方式）步骤说明：

3.1、自定义MyAuthService

package demo.service;

import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.security.authentication.AnonymousAuthenticationToken;
import org.springframework