SpringBoot整合SpringSecurity系列(10)-注解访问控制

最新推荐文章于 2024-05-06 14:37:39 发布
最新推荐文章于 2024-05-06 14:37:39 发布
阅读量381 收藏 1
点赞数 2
分类专栏： 08_SpringBoot 文章标签： SpringSecurity Boot整合Security
本文为博主原创文章，转载请注明出处！
本文链接：https://blog.csdn.net/sinat_34104446/article/details/116310511
版权

文章目录

一、基于注解访问控制

  1. Spring Security 中提供了一些访问控制的注解，这些注解默认不可用，需要通过 @EnableGlobalMethodSecurity 进行开启后使用，如果设置的条件允许则程序正常执行，反之不允许会报 500（AccessDeniedException异常）
    • org.springframework.security.access.AccessDeniedException
@Configuration
@EnableGlobalMethodSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
	// ...
}
  1. @EnableGlobalMethodSecurity开启之后，外有三大注解可以写到 Service 接口或方法上，也可以写到 controller或 controller 的方法上，通常情况下都是写在控制器方法上，控制接口URL是否允许被访问
  2. 新建annotation.html，用于注解控制
<!DOCTYPE html>
<html lang="zh">
<head>
  <meta charset="UTF-8">
  <title>SpringBoot Security</title>
</head>
<body>
  <h3>欢迎登录SpringBoot Security 注解控制首页</h3>
</body>
</html>
  1. 在WebSecurityConfigurerAdapter配置类上 @EnableGlobalMethodSecurity 开启注解即可开启全局方法注解功能

二、三大注解控制方法

2.1 @Secured

  1. @Secured专门用于判断是否具有指定角色，可写在方法或类上，注意参数以 ROLE_ 开头，由于只能判断角色，所以实际中使用并不多
@Target({ ElementType.METHOD, ElementType.TYPE })
@Retention(RetentionPolicy.RUNTIME)
@Inherited
@Documented
public @interface Secured {

	/**
	 * Returns the list of security configuration attributes (e.g.&nbsp;ROLE_USER,
	 * ROLE_ADMIN).
	 * @return String[] The secure method attributes
	 */
	String[] value();
}
  1. 在 @EnableGlobalMethodSecurity 注解功能类上通过指定参数 securedEnabled = true 开启 @Secured 功能
    • @EnableGlobalMethodSecurity(securedEnabled = true)
@Configuration
@EnableGlobalMethodSecurity(securedEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    // ...
}
  1. 在控制器方法上添加@Secured注解，要求具备 ROLE_ADMIN 权限才能访问
/**
 * 注解权限访问
 */
@RequestMapping("/toAnnotation")
@Secured("ROLE_ADMIN")
public String annotation() {
	return "redirect:/annotation.html";
}
  1. 在SecurityConfig中配置对应的权限
    • successForwardUrl指定到对应的处理器
http.formLogin()
	// 指定登录页面，/不能舍弃
	.loginPage("/login.html")
	// 表单提交路径，和登录表单配置一样
	.loginProcessingUrl("/login")
	// 注解访问控制
	.successForwardUrl("/toAnnotation");
  1. 启动项目，然后测试有权限和无权限
    • 有权限

在这里插入图片描述

  • 无权限

在这里插入图片描述

  • 并且控制台抛出对应异常

image.png

2.2 @PreAuthorize

  1. @PreAuthorize是方法或类级别注解，表示访问方法或类在执行之前先判断权限，大多情况下都是使用这个注解，注解的参数和access()方法参数取值相同，都是权限表达式
  2. 使用时需要在 @EnableGlobalMethodSecurity 注解功能类上通过指定参数 prePostEnabled= true 开启**@PreAuthorize** 功能
@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    // ...
}
  1. 在控制器方法上添加@PreAuthorize，参数可以是任何 access() 支持的表达式
@RequestMapping("/preAuthorize")
@PreAuthorize("hasRole('ADMIN')")
public String preAuthorize() {
    return "redirect:/annotation.html";
}
  1. 访问接口，分别使用admin和root访问，结果和@Secured一致
    • http://localhost:8888/preAuthorize

2.3 @PostAuthorize

  1. @PostAuthorize是方法或类级别注解，表示方法或类执行结束后判断权限，此注解很少被使用到
  2. 使用时需要在 @EnableGlobalMethodSecurity 注解功能类上通过指定参数 prePostEnabled= true 开启 @PostAuthorize功能
@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    // ...
}
  1. 在控制器方法上添加@PreAuthorize，参数可以是任何access()支持的表达式
@RequestMapping("/postAuthorize")
@PostAuthorize("hasRole('ADMIN')")
public String postAuthorize() {
    return "redirect:/annotation.html";
}
  1. 访问接口，分别使用admin和root访问，结果和@Secured一致
    • http://localhost:8888/postAuthorize
  2. 由于是方法和类执行结束后才判断的权限，而实际中通常是在执行前做判断，不然权限拦截就没有实际意义
TianXinCoord
关注
专栏目录
springboot整合spring security安全框架-简单验证账号密码
闲走天涯的博客
08-12 1018
springboot整合spring security安全框架-简单验证账号密码 常用于简单的快速配置登录账号密码。例如swagger登录等 1.pom文件引入依赖 <!--spring security 权限框架 配置登录账户密码--> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security&
SpringBoot整合springsecurity、OAuth2.0-达摩院
weixin_44021967的博客
08-11 655
文章目录07-01 RESTful简介第九章 Spring Cache第十章 spring security10-03 手工配置用户名密码10-04 HTTPSecurity配置10-05 HTTPSecurity登录表单配置10-06 HTTPSecurity注销登录请求10-07 多个HTTPSecurity10-8 密码加密10-12 动态权限配置SpringBoot整合OAuth2.0 07-01 RESTful简介 添加依赖：web，Rest Repositories，底层使用了Spring Da
spring-security注解开发
10-29
对spring实战的的嘘唏，在第九章姐的嘘唏。对书中使用注解的方式开发进行了工程的创建学习。
玩转SpringSecurity之五基于注解的访问控制
xtho62的博客
02-15 326
在实际开发中，我们往往需要对一些方法访问进行控制，这样会更加灵活，能够更好的控制，给程序设计有更多的自由度。 在Spring Security中提供了一些访问控制的注解。这些注解都是默认是都不可用的，需要通过@EnableGlobalMethodSecurity进行开启后使用。如果设置的条件允许，程序正常执行，如果不允许会报500错误。 这些注解可以写到Service接口或方法上，也可以写Controller或Controller的方法上。通常情况下都是写在控制器方法上的，控制接口URL是否允许被访问。 @
spring security注解（1）
11-03 293
Chapter15.基于表达式的权限控制 Spring Security 3.0介绍了使用Spring EL表达式的能力，作为一种验证机制 添加简单的配置属性的使用和访问决策投票，就像以前一样。 基于表达式的安全控制是建立在相同架构下的，但是允许使用复杂的布尔逻辑 包含在单独的表达式中。 15.1.概述 Spring Security使用Spring El...
Spring Security 实战干货：基于注解的接口角色访问控制
码农小胖哥
11-19 3458
1. 前言 欢迎阅读 Spring Security 实战干货[1] 系列文章 。在上一篇 基于配置的接口角色访问控制[2] 我们讲解了如何通过 javaConfig 的方式配置接口的角色访问控制。其实还有一种更加灵活的配置方式 基于注解 。今天我们就来探讨一下。DEMO 获取方式在文末。 2. Spring Security 方法安全 Spring Security 基于注解的安全...
springSecurity基于注解的访问控制
weixin_44569326的博客
01-08 274
在 Spring Security 中提供了一些访问控制的注解。这些注解都是 默认是都不可用的，需要通过@EnableGlobalMethodSecurity 进行开启 后使用。 如果设置的条件允许，程序正常执行。如果不允许会报 500 这些注解可以写到 Service 接口或方法上上也可以写到 Controller 或 Controller 的方法上。通常情况下都是写在控制器方法上的，控制 接口 URL 是否允许被访问。 @Secured @Secured 是专门用于判断是否具有角色的。能写在方法或类上。
Springboot整合Spring security+Oauth2+JWT搭建认证服务器，网关，微服务之间权限认证及授权
04-22
4. **整合Spring Security与OAuth2**：在Spring Boot中，我们可以使用`spring-security-oauth2-autoconfigure`库来简化OAuth2的配置。通过设置`@EnableAuthorizationServer`和`@EnableResourceServer`注解，分别启动...
SpringBoot+SpringSecurity+JWT+MybatisPlus实现基于注解的权限验证
08-26
SpringBoot+SpringSecurity+JWT+MybatisPlus实现基于注解的权限验证，可根据注解的格式不同，做到角色权限控制，角色加资源权限控制等，粒度比较细化。 @PreAuthorize("hasAnyRole('ADMIN','USER')")：具有admin或...
SpringBoot整合SpringSecurity超详细入门教程
2401_83977357的博客
04-30 673
JVM，JAVA集合，JAVA多线程并发，JAVA基础，Spring原理，微服务，Netty与RPC，网络，日志，Zookeeper，Kafka，RabbitMQ，Hbase，MongoDB，Cassandra，设计模式，负载均衡，数据库，一致性哈希，JAVA算法，数据结构，加密算法，分布式缓存，Hadoop，Spark，Storm，YARN，机器学习，云计算…跨站请求伪造。
spring MVC 3.1 spring security 注解实现安全机制
06-28
spring MVC 3.1+spring security3.1+mybaits+ 注解 实现安全机制。jar包没有上传。自己补充
Spring security中的注解
godkzz的博客
09-11 824
一、@Secured 作用：用户具有某个角色，可以访问方法 使用： 在启动类或配置内开启注解 @EnableGlobalMethodSecurity(securedEnabled = true) 在Controller的方法上加注解(注意要在角色名前加上ROLE_) @RestController public class MyController { @RequestMapping(value = "/test") @Secured({"ROLE_normal","RO
Spring Security中的注解
qq_44188658的博客
08-10 293
Spring Security中的注解： @Configuration //相当于Spring的xml配置文件，在这个类方法的返回值是java对象，这些对象存放在spring容器中 @EnableWebSecurity //表示启用SpringSecurity安全框架的功能 @EnableGlobalMethodSecurity(prePostEnabled = true) //启用方法级别的认证 @Bean //把当前类的对象放到容器中 ...
SpringSecurity注解
笑一个吧
12-09 106
Security注解
Spring Security注解方式开发
记录点滴
08-22 513
默认情况下，不会开启注解，如果想用注解，需要开启注解支持。 在启动类上开启： @EnableGlobalMethodSecurity(securedEnabled = true) @SpringBootApplication @ComponentScan(basePackages = {"com.example"}) // 开启springSecurity注解支持 @EnableGlobalMethodSecurity(securedEnabled = true) public class Seqe
【Spring Security注解详解】
最新发布
samsung_samsung的专栏
05-06 889
Spring Security 是一个强大的、高度可定制的身份验证和访问控制框架，广泛用于Java应用程序中以确保安全。它提供了多种注解来简化安全控制的实现，特别是在方法级别的权限控制上。
5.Spring Security安全注解（@PreAuthorize、@PostAuthorize、@PostFilter、@PreFilter）
相互学习 共同进步
04-24 1289
Spring Security默认是禁用注解的，要想开启注解，需要在继承WebSecurityConfigurerAdapter的类上加@EnableGlobalMethodSecurity注解，并在该类中将AuthenticationManager定义为Bean如果要启用基于注解的方法安全性，要在配置类上使用**@EnableGlobalMethodSecurity**设置了securedEnabled = true，此时Spring将会创建一个切点，并将带有@Secured注解的方法防入切面中。
八、Spring Security注解
panchang199266的博客
05-29 430
参见spring security 注解@EnableGlobalMethodSecurity详解
spring security 注解_Spring知识点1
weixin_39687881的博客
12-06 67
膜拜阿里架构师全程手写Spring MVC https://blog.csdn.net/gupao123456/article/details/84573462Spring报错java.lang.NoSuchMethodError: org.springframework.util.ClassUtils.getMethod(Ljava/lang/Class; https://blog.csdn.n...
SpringBoot整合SpringSecurity实现角色权限管理
在Controller的方法上使用Spring Security的注解，如`@PreAuthorize`或`@Secured`，来指定哪些角色可以访问特定的API。例如： ```java @RestController public class MyController { @GetMapping("/admin") ...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值