授权简介
一般的人会认为,不同的角色登录进同一个系统,根据角色权限的不同,看到的菜单不同就是控制授权。其实并不是的,菜单的是否显示只是前端交互上的一个设计而已,真正需要授权的地方的接口的访问。
普通的系统通常会有两个端,一个是给用户用的业务系统(比如购物商城的买家端),一个是给公司运营人员用的管理端(可以统计销售量,用户量等信息)。
业务端的权限通常比较简单,可以区分为是否登录,或者简单的角色区分(比如普通用户,VIP用户)。管理端就相对复杂了,公司越大角色就越多,权限就分得越细致。
是否登录授权
之前在 SpringBoot + Spring Security 基本使用及个性化登录配置中提到了普通的用户登录,这里就配置了几个接口是可以不用登录就访问的。这里就不做过多的 介绍了
简单角色的区分
同样是在自己继承了AbstractChannelSecurityConfig
类的configure方法中配置
@Configuration
public class BrowerSecurityConfig extends AbstractChannelSecurityConfig {
http.authorizeRequests() // 定义哪些URL需要被保护、哪些不需要被保护
.antMatchers("/user/regist", "/session/invalid")
.permitAll() // 设置所有人都可以访问的接口
.antMatchers("/user").hasRole("ADMIN") // user接口只有ADMIN角色的可以访问
.anyRequest() // 其他任何请求,登录后可以访问
.authenticated()
.and()
}
这里主要通过antMatchers
和hasRole
搭配使用,进行角色权限的控制,那么角色权限是在哪里赋值的呢? 是在登录管理那儿
@Component
public class MyUserDetailsService implements UserDetailsService {
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
// 演示用,随便给一个password
String password = "123456";
// 参数分别是:用户名,密码,用户权限
User user = new User(username, password, AuthorityUtils.commaSeparatedStringToAuthorityList("ROLE_ADMIN));
return user;
}
}
AuthorityUtils.commaSeparatedStringToAuthorityList
接受一个字符串数组,里面就是用户的角色,比如在上面hasRole
里配置的是”ADMIN”,则这里需要传入”ROLE_ADMIN”,ADMIN是要区分大小写的。
在使用restfulAPI的时候,接口地址是一样,但是请求方法不一样,这个时候antMatchers
里还可以配置请求方法
// 此时POST方法会需要角色权限
antMatchers(HttpMethod.POST, "/user").hasRole("ADMIN")
复杂角色权限 以及 权限表达式
之前的权限配置都是直接通过代码写在配置中的
当面对有复杂角色的时候,一般是把角色与权限放在数据库中的。这个时候一般会涉及到五个数据库表,分别是:用户表、角色表、权限表,用户与角色中间表,角色与权限中间表。
这里我们模拟一个从数据库中根据当前帐号获取权限的示例
@Component("rbacPermission")
public class RbacPermission {
private AntPathMatcher antPathMatcher = new AntPathMatcher();
public boolean hasPermission(HttpServletRequest request, Authentication authentication) {
Object principal = authentication.getPrincipal();
boolean hasPermission = false;
if(principal instanceof UserDetails) {
String username = ((UserDetails) principal).getUsername();
// 读取用户所拥有的权限url,这里应该从数据库获取
Set<String> urls = new HashSet<>();
for (String url : urls) {
// 判断当前url是否有权限
if(antPathMatcher.match(url, request.getRequestURI())) {
hasPermission = true;
break;
}
}
}
return hasPermission;
}
}
接下来就是配置一下了
http.authorizeRequests()
.anyRequest()
.access("@rbacPermission.hasPermission(request, authentication)");
access
中的就是权限表达式
需要注意的是,anyRequest()需要放在最后