好消息好消息!Security系列终于有了第二期,最近在看项目源码忍不住又搞起来Spring Security,来给大家分享一下,虽然和上一节说好的内容不同🤭
回顾
上节我们介绍了如何进行简单的权限配置,包括url权限和方法权限,还有如何授予用户权限。
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/", "/home").permitAll()
// 测试配置URL权限
.antMatchers("/match/**").hasAuthority("sys:match")
// 对某URL添加多个权限,可以多次配置
.antMatchers("/match/**").hasAuthority("sys:mm")
.anyRequest().authenticated()
.and()
.formLogin()
.loginPage("/login")
.permitAll()
.and()
.logout()
.permitAll()
.and()
;
}
但是如果现在你的业务系统要求动态权限呢?
比如用户权限变更了,我们可以重新构建Security上下文中Authentication 对象,这还好说。如果说某个接口的权限修改了,如果按照上述的方法来做的话,是不可能实现动态修改的。
本节我们来介绍一下Spring Security 如何实现动态权限
实现原理
FilterSecurityInterceptor 负责 Security中的权限控制,其核心代码在父类AbstractSecurityInterceptor中,我们来看一下
image
这里我删了一些与核心逻辑无关的代码,我们只需要关注红框里的内容
这时候聪明的你应该已经明白了FilterSecurityInterceptor是如何管理权限的,我们完全可以自己实现上面的AccessDecisionManager和SecurityMetadataSource来实现我们的动态权限
但是先别急,先看看AccessDecisionManager的默认实现AffirmativeBased
image
这代码写的有意思了,通过遍历所有的Voter,每个Voter实现具体的判断逻辑,返回 1,0,-1(分别代表同意、弃权、拒绝),当存在拒绝时直接抛出AccessDeniedException
非常的民主,我们只需要实现一个Voter即可
注:AccessDecisionManager 还有其他的默认实现,感兴趣的同学可以自行查看源码
Coding
OK,首先我们先捋一下思路
实现SecurityMetadataSource,提供当前资源要求的权限
实现AccessDecisionVoter,用于判断当前用户是否有权限访问
将我们自己的实现注册到FilterSecurityInterceptor中
OK,可以开搞了
SecurityService
实现一个Service,用于从数据库加载数据
@Service
public class SecurityService {
@Autowired
private JdbcTemplate jdbcTemplate;
/**
* 加载资源要求的权限
*
* @param resource
* @return
*/
public List getPermByResource(String resource) {
return jdbcTemplate.queryForList(Sql.getPermByResource, String.class, resource);
}
/**
* 当前用户的权限
*
* @param username
* @return
*/
public List getPermByUsername(String username) {
return jdbcTemplate.queryForList(Sql.getPermByUsername, String.class, username);
}
}
注:这里两个方法都可以加上缓存,由于demo演示,我就没有这么做
实现SecurityMetadataSource
MySecurityMetadataSource 很简单,就是通过SecurityService加载一下数据
public class MySecurityMetadataSource implements FilterInvocationSecurityMetadataSource {
private SecurityService securityService;
public MySecurityMetadataSource(SecurityService securityService) {
this.securityService = securityService;
}
@Override
public Collection getAttributes(Object object) throws IllegalArgumentException {
String uri = ((FilterInvocation) object).getHttpRequest().getRequestURI();
List list = securityService.getPermByResource(uri);
if (list != null && list.size() != 0) {
return SecurityConfig.createList(list.toArray(new String[0]));
}
return null;
}
@Override
public Collection getAllConfigAttributes() {
return null;
}
@Override
public boolean supports(Class> clazz) {
return FilterInvocation.class.isAssignableFrom(clazz);
}
}
实现AccessDecisionVoter
这里加载一下当前用户的权限,判断用户是否满足当前资源所要求的权限
public class MyAccessDecisionVoter implements AccessDecisionVoter {
private SecurityService securityService;
public MyAccessDecisionVoter(SecurityService securityService) {
this.securityService = securityService;
}
@Override
public boolean supports(ConfigAttribute attribute) {
return true;
}
@Override
public boolean supports(Class> clazz) {
return true;
}
@Override
public int vote(Authentication authentication, Object object, Collection attributes) {
Object principal = authentication.getPrincipal();
if ("anonymousUser".equals(principal)) {
// 当前用户未登录,如果不要求权限->允许访问,否则拒绝访问
return CollectionUtils.isEmpty(attributes) ? ACCESS_GRANTED : ACCESS_DENIED;
} else {
// 这里我的逻辑是,当前资源的要求权限,用户必须全部满足时才可以访问
User user = (User) principal;
List permitList = securityService.getPermByUsername(user.getUsername());
List stringAttributes = attributes.stream().map(ConfigAttribute::getAttribute).collect(Collectors.toList());
return permitList.containsAll(stringAttributes) ? ACCESS_GRANTED : ACCESS_DENIED;
}
}
}
注册到FilterSecurityInterceptor
我们核心的业务已经实现完了,现在需要把MySecurityMetadataSource和MyAccessDecisionVoter注册到FilterSecurityInterceptor中
需要注意的是,FilterSecurityInterceptor并不可以通过@Bean的方式来声明,该对象是在WebSecurityConfigurerAdapter的初始化方法中默认创建的
但是Spring Security为我们提供了ObjectPostProcessor,用于解决上述问题,具体用法如下
http
.authorizeRequests()
.antMatchers("/", "/home", "/403").permitAll()
.anyRequest().authenticated()
.withObjectPostProcessor(new ObjectPostProcessor() {
@Override
public O postProcess(
O fsi) {
fsi.setSecurityMetadataSource(new MySecurityMetadataSource(securityService));
fsi.setAccessDecisionManager(new AffirmativeBased(getDecisionVoters()));
return fsi;
}
})
完整Demo