SpringSecurity 进行自定义Token校验

背景

Spring Security默认使用「用户名/密码」的方式进行登陆校验，并通过cookie的方式存留登陆信息。在一些定制化场景，比如希望单独使用token串进行部分页面的访问权限控制时，默认方案无法支持。在未能在网上搜索出相关实践的情况下，通过官方文档及个别Stack Overflow的零散案例，形成整体思路并实践测试通过，本文即关于该方案的一个分享。

参考

官方文档：https://docs.spring.io/spring-security/site/docs/5.0.5.BUILD-SNAPSHOT/reference/htmlsingle/

SpringSecurity校验流程

基本的SpringSecurity使用方式网上很多，不是本文关注的重点，如有需要可以自行搜索或参见https://blog.csdn.net/u012702547/article/details/54319508

关于校验的整个流程简单的说，整个链路有三个关键点，

• 将需要鉴权的类/方法/url），定义为需要鉴权（本文代码示例为方法上注解@PreAuthorize("hasPermission('TARGET','PERMISSION')")
• 根据访问的信息产生一个来访者的权限信息Authentication，并插入到上下文中
• 在调用鉴权方法时，根据指定的鉴权方式，验证权限信息是否符合权限要求

完整的调用链建议在IDE中通过单步调试亲自体会，本文不做相关整理。

如何自定义

我的需求，是使用自定义的token，验证权限，涉及到：

• 产生Authentication并插入到上下文中
• 针对token的验证方式

需要做的事情如下：

• 自定义TokenAuthentication类，实现org.springframework.security.core.Authenticaion，作为token权限信息
• 自定义AuthenticationTokenFilter类，实现javax.servlet.Filter，在收到访问时，根据访问信息生成TokenAuthentication实例，并插入上下文
• 自定义SecurityPermissionEvalutor类，实现org.springframework.security.access.PermissionEvaluator，完成权限的自定义验证逻辑
• 在全局的配置中，定义使用SecurityPermissionEvalutor作为权限校验方式

TokenAuthentication.java

/**
 * @author: Blaketairan
 */

impo