SpringSecurity自定义权限校验（三）

INSERT INTO `tb_resource` VALUES (5, '登录权限', 'all:login');
INSERT INTO `tb_resource` VALUES (6, '登出权限', 'all:logout');
INSERT INTO `tb_resource` VALUES (7, '错误逻辑显示权限', 'all:error');
INSERT INTO `tb_resource` VALUES (8, '入口页面显示权限', 'all:toMain');
INSERT INTO `tb_role_resource` VALUES (1, 5);
INSERT INTO `tb_role_resource` VALUES (1, 6);
INSERT INTO `tb_role_resource` VALUES (1, 7);
INSERT INTO `tb_role_resource` VALUES (1, 8);
INSERT INTO `tb_role_resource` VALUES (2, 5);
INSERT INTO `tb_role_resource` VALUES (2, 6);
INSERT INTO `tb_role_resource` VALUES (2, 7);
INSERT INTO `tb_role_resource` VALUES (2, 8);

/**
 * Created by Monologue_zsj on 2021/4/15 11:17
 * Author：小脸儿红扑扑
 * Description：自定义一个权限校验接口
 */
public interface MyAuthorityPermit {

    /**
     * 权限校验逻辑方法。登录逻辑，本质上，无法处理
     * 当用户有权限的时候，返回true
     * 无权限的时候，返回false
     * 当用户登录成功后，通过用户携带的权限集合，验证用户本次访问的路径是否有访问权限
     * @param request   请求对象，可以通过请求对象获取请求路径，请求参数，请求作用域数据
     * @param authentication 用户登录后,SpringSecurity维护的用户登录标记，内部包含登录用户的名称和权限集合
     * @return  true /  false, access方法，参数如果是字符串"true"代表，有访问权限，参数如果是字符串"false",无访问权限
     */
    public boolean hasAuthority(HttpServletRequest request, Authentication authentication);
}

/**
 * Created by Monologue_zsj on 2021/4/15 11:25
 * Author：小脸儿红扑扑
 * Description：本类型的对象，必须被Spring容器管理。否则在Security配置类型中，无法获取对象
 *      通常使用路径地址作为映射规则，直接匹配资源信息，不匹配角色信息
 *      数据库中保存的权限数据是 /login   /logout   /toMain   /failure   /success等
 *      代码中通过请求对象，获取请求地址 request.getServletPath() 校验
 */
@Component
public class MyAuthorityPermitImpl implements MyAuthorityPermit {

    /**
     * 定义：请求参数中，包含权限相关信息
     *  参数名：roles；参数值：字符串数组。代表本次请求地址，需要访问的权限
     *  参数名：authorities；参数值：字符串数组。代表本次请求的地址，需要访问的权限
     * @param request   请求对象，可以通过请求对象获取请求路径，请求参数，请求作用域数据
     * @param authentication 用户登录后,SpringSecurity维护的用户登录标记，内部包含登录用户的名称和权限集合
     * @return
     */
    @Override
    public boolean hasAuthority(HttpServletRequest request, Authentication authentication) {

        //获取请求参数
        String [] roles = request.getParameterValues("roles");
        String [] authorities = request.getParameterValues("authorities");

        //获取当前登录用户拥有的权限集合列表
        System.out.println("权限集合：" + authentication.getAuthorities());
        System.out.println("身份：" + authentication.getPrincipal());
        System.out.println("凭证：" + authentication.getCredentials());
        System.out.println("明细：" + authentication.getDetails());
        System.out.println("是否登录：" + authentication.isAuthenticated());

        for (String role : roles) {     //判断角色权限
            String temp = "ROLE_" + role;   //拼接前缀
            //判断用户权限集合中，是否包含当前请求路径需要的权限
            if (authentication.getAuthorities().contains(new SimpleGrantedAuthority(temp))) {
                //登录用户权限，可以访问
                return true;
            }
        }

        for (String authority : authorities) {
            if (authentication.getAuthorities().contains(authentication)) {
                //登录用户有权限
                return true;
            }
        }
        //登录用户无权限，不可以访问
        return false;
    }
}

http.authorizeRequests()
                //.antMatchers("/toLogin").access("anonymous")    //只能匿名访问
                .antMatchers("/toLogin").anonymous()    //只能匿名访问
                .antMatchers("/failure", "/favicon.ico").permitAll()    //toLogin请求地址，可以随便访问
                .antMatchers("/**/*.js").permitAll()    //授予所有目录下的所有.js文件可访问资源
                .regexMatchers(".*[.]css").permitAll()  //授予所有目录下的所有.css文件可访问权限
                /**
                 * 使用自定义代码逻辑，实现权限校验，返回true、false字符串
                 * 在access方法的参数中，可以使用SpringEL表达式传递代码的运行逻辑
                 * @beanName,可以获取Spring容器中的对象
                 * @beanName.methodName() 可以调用对象中的方法
                 * 方法中参数传递的对象，可以在WebSecurityExpressionRoot中查看，是这个类型中的所有属性
                 */
                .antMatchers("/**").access("@myAuthorityPermitImpl.hasAuthority(request, authentication)")

                .anyRequest().authenticated();  //任意的请求必须认证后才可以访问

        //关闭CSRF安全协议，关闭是为了完整流程的可用
        http.csrf().disable();